Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Linux rsync <= 3.1.2 Betroffene Plattformen: Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 17.10 Eine Schwachstelle in rsync ermöglicht einem entfernten, nicht authentisierten Angreifer das Bewirken eines Denial-of-Service (DoS)-Zustandes und eine weitere Schwachstelle kann einem entfernten, einfach authentisierten Angreifer für das Umgehen von Sicherheitsvorkehrungen dienen. Canonical stellt für die Distributionen Ubuntu 14.04 LTS, Ubuntu 16.04 LTS und Ubuntu 17.10 Backport-Sicherheitsupdates zur Behebung der Schwachstellen bereit und gibt als mögliche Auswirkung der erfolgreichen Ausnutzung der Schwachstellen jeweils auch das Ausführen beliebigen Programmcodes an. Patch: Ubuntu Security Notice USN-3543-1 http://www.ubuntu.com/usn/usn-3543-1/

CVE-2018-5764: Schwachstelle in rsync ermöglicht Umgehen von
Sicherheitsvorkehrungen

In der Funktion ‘parse_arguments’ in der Datei ‘options.c’ in rsync vor
Version 3.1.3 wird die Bereinigung von Eingaben zum Teil außer Kraft
gesetzt, wenn die Option ‘–protect-args’ bzw. ‘-s’ übergeben wird. Ein
entfernter, einfach authentisierter Angreifer kann Sicherheitsvorkehrungen
umgehen und dadurch nicht spezifizierte weitere Angriffe ausführen.

CVE-2017-16548: Schwachstelle in rsync ermöglicht u.a.
Denial-of-Service-Angriff

Die Funktion ‘receive_xattr’ innerhalb von ‘xattrs.c’ in rsync 3.1.2 prüft
‘xattr’-Attributsnamen nicht auf Nullterminierung (nachgestellte
‘\0’-Zeichen). Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um über den zugewiesenen Speicher hinaus zu lesen
(Heap-based Buffer Over-Read), wodurch die Software abstürzt. Möglicherweise
sind weitere Angriffe durch Senden speziell präparierter Daten an den
rsync-Dienst möglich.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0159/

Schwachstelle CVE-2017-16548 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16548

Schwachstelle CVE-2018-5764 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-5764

Ubuntu Security Notice USN-3543-1:
http://www.ubuntu.com/usn/usn-3543-1/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.