—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.

CVE-2011-1018 – Schwachstelle in Logwatch bis Version 7.3.6

Logwatch bis Version 7.3.6 behandelt Namen von Log-Dateien in unsicherer
Weise. Shell-Metazeichen in Log-Dateinamen koennen als Befehle zur
Ausfuehrung kommen. Ein lokaler Angreifer kann diese Schwachstelle
ausnutzen, um beliebige Befehle mit root-Rechten auszufuehren.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket logwatch

Fedora 13
Fedora 14
Fedora 15

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Torsten Voss

– —

Dipl.-Ing.(FH) Torsten Voss (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen https://www.cert.dfn.de/autowarn

– ——————————————————————————–
Fedora Update Notification
FEDORA-2011-2318
2011-03-01 03:42:19
– ——————————————————————————–

Name : logwatch
Product : Fedora 13
Version : 7.3.6
Release : 55.fc13
URL : http://www.logwatch.org/
Summary : A log file analysis program
Description :
Logwatch is a customizable, pluggable log-monitoring system. It will go
through your logs for a given period of time and make a report in the areas
that you wish with the detail that you wish. Easy to use – works right out
of the package on many systems.

– ——————————————————————————–
Update Information:

This update fixes CVE-2011-1018: Privilege escalation due improper sanitization of special characters in log file names

– ——————————————————————————–
ChangeLog:

* Mon Feb 28 2011 Karel Klic – 7.3.6-55
– – Added fix for CVE-2011-1018: Privilege escalation due improper
sanitization of special characters in log file names (rhbz#680237)
* Sat Oct 9 2010 Richard Fearn 7.3.6-54
– – named: match “DNS format error”, and variants of existing messages
(rhbz#595222)
* Sat Oct 9 2010 Richard Fearn 7.3.6-53
– – named: match “clients-per-query increased” as well as “decreased”
* Sat Oct 9 2010 Richard Fearn 7.3.6-52
– – Update dhcpd patch so that “Information-request” messages are matched
(rhbz#624590)
* Mon Apr 19 2010 Karel Klic 7.3.6-51
– – Removed obsolete chmod and touch calls from the spec file
– – Added manpages for configuration files (rhbz#525644)
– – Ignore broken trust chain messages in named service (rhbz#581186)
– – Re-enabled zz-fortune service (#573450)
– ——————————————————————————–
References:

[ 1 ] Bug #680237 – CVE-2011-1018 logwatch: Privilege escalation due improper sanitization of special characters in log file names
https://bugzilla.redhat.com/show_bug.cgi?id=680237
– ——————————————————————————–

This update can be installed with the “yum” update program. Use
su -c ‘yum update logwatch’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.

All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–

—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.9 (GNU/Linux)

iQEcBAEBAgAGBQJNegEUAAoJEJtyb8U7iGZBPVEH/if080D0Y+O5UOoM4sihG6yS
bmabOayzHZd8K2zCW5I7mSrpfwtNu2qBm7fLPeEI+gkFlHwHF2pOY/ZyvH4gvUHg
IoyyfciYlT6pYfw28sGxZQpY0NiLfX9LF07WphWT7bW+ICVeL58cy+ysxA+D049U
NFLQBw/jms3j/ICS8SFJW2xy4IxLHLG32TrMFrsYuuZRzqiPdyjJQXC6y6b2qGin
jXX8zVEVqftMTSoJAJAKhAg9k8tHkob2KvJ8T+daU5rgruxA8rIk1GjJpQSBZ84h
inSzHlClz4KiIEXG6HRXz6Hxu/a83yYGESVsNCHgFUwGWnSjWBRRpJ/7ei3yPec=
=9oav
—–END PGP SIGNATURE—–