Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 7 (21.04.23):
Canonical stellt für Ubuntu 18.04 LTS und Ubuntu 16.04 ESM
Sicherheitsupdates für ‘kauth’ bereit, um die Schwachstelle zu beheben.
Version 6 (26.04.19):
openSUSE veröffentlicht für openSUSE Backports SLE 15 erneut
Sicherheitsupdates für KAuth, um die Schwachstelle zu beheben.
Version 5 (26.03.19):
Für openSUSE Backports SLE 15 steht ein weiteres Sicherheitsupdate, jetzt
für die KAuth Version 5.32.0, bereit, mit dem die Schwachstelle behoben
wird.
Version 4 (26.02.19):
Für openSUSE Backports SLE 15 steht ein neues Sicherheitsupdate zur
Behebung der Schwachstelle in ‘kauth’ bereit.
Version 3 (26.02.19):
In einer Aktualisierung des Sicherheitshinweises openSUSE-SU-2019:0242-1
wird zusätzlich ein Sicherheitsupdate für SUSE Package Hub for SUSE Linux
Enterprise 12 angekündigt.
Version 2 (26.02.19):
Für openSUSE Leap 15.0 und 42.3 sowie für openSUSE Backports SLE 15 stehen
Backport-Sicherheitsupdates bereit, mit denen die Schwachstelle in ‘kauth’
behoben wird.
Version 1 (12.02.19):
Neues Advisory
Ein Angreifer kann eine Schwachstelle in KAuth aus der Ferne ausnutzen,
indem er Parameter beliebiger Typen an einen KAuth Helper übergibt. Der
Angreifer kann dadurch einen Denial-of-Service (DoS)-Angriff durchführen und
möglicherweise beliebigen Programmcode mit ‘root’-Rechten zur Ausführung
bringen.
Für die Ausnutzung der Schwachstelle sind keine Privilegien erforderlich.
Das KDE Project stellt KAuth 5.55.0 und einen Quellcodepatch als
Sicherheitsupdates zur Behebung der Schwachstelle bereit und weist darauf
hin, dass keiner der im Programmcode vorhandenen KAuth Helper die
problematischen GUI-Varianten zu verwenden scheint.
Für Fedora 28 und 29 sowie für Fedora EPEL 7 stehen Backport-
Sicherheitsupdates zur Behebung der Schwachstelle im Status ‘testing’
bereit.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2019-0290]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
