Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Linux rsync

Betroffene Plattformen:

openSUSE Leap 42.2
openSUSE Leap 42.3

Mehrere Schwachstellen in rsync können zum Teil auch von einem entfernten,
nicht authentisierten Angreifer ausgenutzt werden, um beliebigen
Programmcode zur Ausführung zu bringen, Sicherheitsvorkehrungen zu umgehen
und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Distributionen openSUSE Leap 42.2 und openSUSE Leap 42.3 stehen
Sicherheitsupdates zur Behebung der Schwachstellen bereit.

Patch:

openSUSE Security Update openSUSE-SU-2018:0101-1

https://lists.opensuse.org/opensuse-updates/2018-01/msg00044.html

CVE-2017-16548: Schwachstelle in rsync ermöglicht u.a.
Denial-of-Service-Angriff

Die Funktion ‘receive_xattr’ innerhalb von ‘xattrs.c’ in rsync 3.1.2 prüft
‘xattr’-Attributsnamen nicht auf Nullterminierung (nachgestellte
‘\0’-Zeichen). Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um über den zugewiesenen Speicher hinaus zu lesen
(Heap-based Buffer Over-Read), wodurch die Software abstürzt. Möglicherweise
sind weitere Angriffe durch Senden speziell präparierter Daten an den
rsync-Dienst möglich.

CVE-2017-17434: Schwachstelle in rsync ermöglicht Umgehen von
Sicherheitsvorkehrungen

Im Hintergrunddienst (daemon) von rsync 3.1.2 und 3.1.3-development vor
2017-12-03 wird das Vorkommen von ‘fnamecmp’-Dateinamen nicht in der
Datenstruktur ‘daemon_filter_list’ geprüft. Außerdem wird der
Schutzmechanismus ‘sanitize_paths’ nicht auf Pfade angewandt, welche in den
Strings ‘xname follow’ hinterlegt sind. Diese Schwachstellen ermöglichen
einem entfernten, einfach authentisierten Angreifer das Umgehen von
Sicherheitsvorkehrungen.

CVE-2017-17433: Schwachstelle in rsync ermöglicht Umgehen von
Sicherheitsvorkehrungen

In der Funktion ‘recv_files’ in der Datei ‘receiver.c’ im Hintergrunddienst
(daemon) von rsync 3.1.2 und 3.1.3-development vor 2017-12-03 werden
Metadaten von Dateien verarbeitet, bevor geprüft wird, ob die Datei der
‘daemon_filter_list’ zufolge verarbeitet werden darf. Dies ermöglicht einem
entfernten, einfach authentisierten Angreifer das Umgehen von
Sicherheitsvorkehrungen.

CVE-2014-9512: Schwachstelle in rsync ermöglicht das Ausführen beliebigen
Programmcodes mit den Rechten des Benutzers

Eine Schwachstelle in rsync ermöglicht es, durch die Verwendung von
symbolischen Links, beliebige Dateien mit den Rechten des Benutzers zu
schreiben und spätestens beim Neustart des System auszuführen. Wird der
Parameter “-a” beim Aufruf von rsync verwendet, werden rekursiv alle Dateien
inklusive symbolischer Links von dem Startverzeichnis aus abgeglichen. Ein
entfernter, nicht authentifizierter Angreifer kann, durch die Verwendung
eines präparierten Servers, beliebige Dateien schreiben und mit den Rechten
des Benutzers ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0088/

Schwachstelle CVE-2014-9512 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9512

Schwachstelle CVE-2017-16548 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16548

Schwachstelle CVE-2017-17433 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-17433

Schwachstelle CVE-2017-17434 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-17434

openSUSE Security Update openSUSE-SU-2018:0101-1:
https://lists.opensuse.org/opensuse-updates/2018-01/msg00044.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.