Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 12 (26.01.2018):
Für Oracle Linux 6 steht mit Oracle Linux Bug Fix Advisory ELBA-2018-0170
ein Update für ‘samba’ bereit, durch welches eine Regression von
CVE-2017-2619 behoben wird.
Version 11 (09.05.2017):
SUSE stellt für die SUSE Linux Enterprise Produkte Software Development
Kit 11 SP4, Server 11 SP3 LTSS und 11 SP4, Debuginfo 11 SP3 und 11 SP4
sowie OpenStack Cloud 5 Sicherheitsupdates für Samba bereit, um die
Schwachstelle zu beheben.
Version 10 (25.04.2017):
Canonical stellt für Ubuntu Linux 17.04 nun ebenfalls ein
Sicherheitsupdate bereit.
Version 9 (10.04.2017):
Für Fedora 24 steht ein neues Sicherheitsupdate im Status ‘testing’
bereit. Das bisherige Sicherheitsupdate FEDORA-2017-461ce095b5 befindet
sich mittlerweile im Status ‘obsolete’ (Referenz entfernt), da es im
Kontext von ‘nss_wins’ aufgrund einer fehlenden Abhängigkeit
(libreplace-samba4.so) durch das Update zum Absturz der Software kam.
Version 8 (06.04.2017):
Für openSUSE Leap 42.1 und 42.2 stehen Sicherheitsupdates für Samba
bereit.
Version 7 (04.04.2017):
Für Fedora 26 steht mit dem Paket ‘samba-4.6.2-0.fc26’ ein
Sicherheitsupdate im Status ‘testing’ bereit.
Version 6 (03.04.2017):
Für Fedora 24 und 25 stehen Sicherheitsupdates in Form der Pakete
‘samba-4.4.13-0.fc24’ und ‘samba-4.5.8-0.fc25’ als Ersatz für die zuvor
veröffentlichten und in den Status ‘unpushed’ versetzten
Sicherheitsupdates FEDORA-2017-ab5fa91445 und FEDORA-2017-8ac84a5cc3
(Referenzen aus dieser Meldung entfernt) bereit. Das Sicherheitsupdate für
Fedora 24 befindet sich im Status ‘testing’, das Sicherheitsupdate für
Fedora 25 besitzt bereits den Status ‘stable’.
Version 5 (31.03.2017):
Das zuvor als Ubuntu Security Notice USN-3242-1 veröffentlichte
Sicherheitsupdate für Ubuntu Linux führt eine Regression ein, wenn Samba
konfiguriert ist, symbolischen Verknüpfungen nicht zu folgen. Canonical
stellt ein neues Sicherheitsupdate zur Behebung dieser Regression bereit.
Version 4 (30.03.2017):
Für die SUSE Linux Enterprise Produkte Software Development Kit (12 SP1,
12 SP2), High Availability (12, 12 SP1, 12 SP2), Server (for SAP 12, for
Raspberry Pi 12 SP2, 12 LTSS, 12 SP1, 12 SP2) sowie Desktop (12 SP1, 12
SP2) stehen Sicherheitsupdates zur Behebung der Schwachstelle bereit.
Version 3 (29.03.2017):
Für die SUSE Linux Enterprise Produkte Software Development Kit, Server
und Debuginfo in der Version 11 SP4 stehen Sicherheitsupdates zur Behebung
der Samba-Schwachstelle bereit.
Version 2 (24.03.2017):
Debian stellt für die Distribution Debian Jessie (stable) ein
Backport-Sicherheitsupdate bereit.
Version 1 (23.03.2017):
Neues Advisory
Betroffene Software:
Samba < 4.4.12 Samba < 4.5.7 Samba < 4.6.1 Betroffene Plattformen: SUSE Linux Enterprise Debuginfo 11 SP3 SUSE Linux Enterprise Debuginfo 11 SP4 SUSE Linux Enterprise High Availability 12 SUSE Linux Enterprise High Availability 12 SP1 SUSE Linux Enterprise High Availability 12 SP2 SUSE Linux Enterprise Software Development Kit 11 SP4 SUSE Linux Enterprise Software Development Kit 12 SP1 SUSE Linux Enterprise Software Development Kit 12 SP2 SUSE OpenStack Cloud 5 Canonical Ubuntu Linux 12.04 LTS (ESM) Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 16.10 Canonical Ubuntu Linux 17.04 Debian Linux 8.7 Jessie openSUSE Leap 42.1 openSUSE Leap 42.2 SUSE Linux Enterprise Desktop 12 SP1 SUSE Linux Enterprise Desktop 12 SP2 SUSE Linux Enterprise Server 11 SP3 LTSS SUSE Linux Enterprise Server 11 SP4 SUSE Linux Enterprise Server 12 LTSS SUSE Linux Enterprise Server for SAP 12 SUSE Linux Enterprise Server 12 SP1 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi Oracle Linux 6 Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Ein entfernter, einfach authentisierter Angreifer mit der Berechtigung, im geteilten Exportpfad eines Samba-Servers symbolische Verknüpfungen zu erzeugen, kann Zugriff auf beliebige Dateien des Serverdateisystems erhalten, wenn er einen kritischen Wettlauf gewinnt. Der Hersteller bestätigt die Schwachstelle für alle Versionen von Samba vor 4.4.11, 4.5.7 und 4.6.1 und stellt die Versionen 4.4.12, 4.5.7 und 4.6.1 als Sicherheitsupdates zur Verfügung. Canonical stellt für die aktuell unterstützten Distributionen Ubuntu Linux 12.04 LTS, 14.04 LTS, 16.04 LTS und 16.10 Backport-Sicherheitsupdates bereit. Für Fedora 24 und 25 stehen Sicherheitsupdates bereit, die sich derzeit noch im Status 'pending' befinden. Patch: Samba 4.4.12 Release Notes https://www.samba.org/samba/history/samba-4.4.12.html
Patch:
Samba 4.5.7 Release Notes
https://www.samba.org/samba/history/samba-4.5.7.html
Patch:
Samba 4.6.1 Release Notes
https://www.samba.org/samba/history/samba-4.6.1.html
Patch:
Ubuntu Security Notice USN-3242-1
https://www.ubuntu.com/usn/usn-3242-1/
Patch:
Debian Security Advisory DSA-3816-1
https://www.debian.org/security/2017/dsa-3816
Patch:
SUSE Security Update SUSE-SU-2017:0841-1
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002743.html
Patch:
SUSE Security Update SUSE-SU-2017:0858-1
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002747.html
Patch:
SUSE Security Update SUSE-SU-2017:0859-1
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002748.html
Patch:
SUSE Security Update SUSE-SU-2017:0862-1
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002750.html
Patch:
Fedora Security Update FEDORA-2017-c22a1dbe8b (Fedora 25, samba-4.5.8-0)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c22a1dbe8b
Patch:
Ubuntu Security Notice USN-3242-2
https://www.ubuntu.com/usn/usn-3242-2/
Patch:
Fedora Security Update FEDORA-2017-fb9ed95cf3 (Fedora 26,
samba-4.6.2-0.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-fb9ed95cf3
Patch:
openSUSE Security Update openSUSE-SU-2017:0935-1
http://lists.opensuse.org/opensuse-updates/2017-04/msg00021.html
Patch:
openSUSE Security Update openSUSE-SU-2017:0944-1
http://lists.opensuse.org/opensuse-updates/2017-04/msg00027.html
Patch:
Fedora Security Update FEDORA-2017-97fb93e1d1 (Fedora 24,
samba-4.4.13-1.fc24)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-97fb93e1d1
Patch:
Ubuntu Security Notice USN-3267-1
http://www.ubuntu.com/usn/usn-3267-1/
Patch:
SUSE Security Update SUSE-SU-2017:1216-1
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002850.html
Patch:
Oracle Linux Bug Fix Advisory ELBA-2018-0170
https://oss.oracle.com/pipermail/el-errata/2018-January/007475.html
CVE-2017-2619: Schwachstelle in Samba ermöglicht Ausspähen von Informationen
Samba verwendet den Systemaufruf ‘realpath’, um zu gewährleisten, dass ein
Client nur Zugriff auf einen angeforderten Pfadnamen erhält, wenn dieser
sich im exportierten geteilten Pfad (Exported Shared Path) auf dem
Serverdateisystem befindet. Clientsysteme mit der Berechtigung, in diesem
Teil des Serverdateisystems über SMB1 UNIX-Erweiterungen oder NFS
symbolische Verknüpfungen zu erstellen, können einen Wettlauf mit dem Server
erzeugen, indem sie einen von ‘realpath’ geprüften Pfad umbenennen und
anschließend eine symbolische Verknüpfung auf einen beliebigen Pfad anlegen.
Gewinnen sie den Wettlauf, liefert der Server über diese Verknüpfung den
angeforderten Pfad seines Dateisystems aus.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0518/
Samba 4.4.12 Release Notes:
https://www.samba.org/samba/history/samba-4.4.12.html
Samba 4.5.7 Release Notes:
https://www.samba.org/samba/history/samba-4.5.7.html
Samba 4.6.1 Release Notes:
https://www.samba.org/samba/history/samba-4.6.1.html
Ubuntu Security Notice USN-3242-1:
https://www.ubuntu.com/usn/usn-3242-1/
Schwachstelle CVE-2017-2619 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-2619
Debian Security Advisory DSA-3816-1:
https://www.debian.org/security/2017/dsa-3816
SUSE Security Update SUSE-SU-2017:0841-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002743.html
SUSE Security Update SUSE-SU-2017:0858-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002747.html
SUSE Security Update SUSE-SU-2017:0859-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002748.html
SUSE Security Update SUSE-SU-2017:0862-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002750.html
Fedora Security Update FEDORA-2017-c22a1dbe8b (Fedora 25, samba-4.5.8-0):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c22a1dbe8b
Ubuntu Security Notice USN-3242-2:
https://www.ubuntu.com/usn/usn-3242-2/
Fedora Security Update FEDORA-2017-fb9ed95cf3 (Fedora 26, samba-4.6.2-0.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-fb9ed95cf3
openSUSE Security Update openSUSE-SU-2017:0935-1:
http://lists.opensuse.org/opensuse-updates/2017-04/msg00021.html
openSUSE Security Update openSUSE-SU-2017:0944-1:
http://lists.opensuse.org/opensuse-updates/2017-04/msg00027.html
Fedora Security Update FEDORA-2017-97fb93e1d1 (Fedora 24, samba-4.4.13-1.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-97fb93e1d1
Ubuntu Security Notice USN-3267-1:
http://www.ubuntu.com/usn/usn-3267-1/
SUSE Security Update SUSE-SU-2017:1216-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002850.html
Oracle Linux Bug Fix Advisory ELBA-2018-0170:
https://oss.oracle.com/pipermail/el-errata/2018-January/007475.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
