—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
CVE-2011-2520 – Schwachstelle in system-config-firewall
Beim Versenden von Daten mittels D-Bus wird das pickle-Modul (Python) in
einer unsicheren Weise verwendet. Dadurch ist es einem lokalen
Angreifer, der autorisiert ist, Firewall-Regeln mit der Software zu
aendern, moeglich, beliebige Befehle mit root-Rechten auszufuehren,
indem er ein praepariertes Paket sendet.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket system-config-firewall
Fedora 15
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Detlev O. Matthies
– —
Detlev O. Matthies, M.Sc. (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen https://www.cert.dfn.de/autowarn
– ——————————————————————————–
Fedora Update Notification
FEDORA-2011-9652
2011-07-23 01:34:32
– ——————————————————————————–
Name : system-config-firewall
Product : Fedora 15
Version : 1.2.29
Release : 4.fc15
URL : http://fedorahosted.org/system-config-firewall
Summary : A graphical interface for basic firewall setup
Description :
system-config-firewall is a graphical user interface for basic firewall setup.
– ——————————————————————————–
Update Information:
– – fixed possible privilege escalation flaw via use of python pickle
(CVE-2011-2520), replaced pickle by json (rhbz#717985) and (rhbz#722991)
– – stop D-BUS firewall mechanism on update, because D-BUS interface will not
be compatible to old pickle version
– – system-config-printer needs to get updated, too
– ——————————————————————————–
ChangeLog:
* Fri Jul 22 2011 Thomas Woerner
– – fixed possible privilege escalation flaw via use of python pickle
(CVE-2011-2520), replaced pickle by json (rhbz#717985) and (rhbz#722991)
– – stop D-BUS firewall mechanism on update
– ——————————————————————————–
References:
[ 1 ] Bug #717985 – CVE-2011-2520 system-config-firewall: privilege escalation flaw via use of python pickle
https://bugzilla.redhat.com/show_bug.cgi?id=717985
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update system-config-firewall’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)
iQEcBAEBAgAGBQJON7TuAAoJEJtyb8U7iGZBLRUH/R/sJBn0v9eEW3qcbA6U9RSG
hrsTtkZtqt2g0vfGHDNiRmU+jHMfoKR262jTSiRGE8Rvv5mUbytU0vB8nxZwOVaT
HtP+PqhT83UlPt5NyegDT5mARprwvPJmSYycFTOgUNl6DcHARiWxwt4+aZM0yqC5
zzMzRGoqZBdkYP33peJ+MUFjyt3V/us73oJYPX2mmSl/moaUJod3XW80k5Nwz8Rg
wvKl0/b56TZiPMLk1m/pXJdeHlJzw7aGNBFm84Yu2wuuM0st9t8LRdKy1aspjCk/
MjB4/6h8DOWG/jdYoDflcnsvVXTAXGX7yhLj4iGpky5ypGCt31x367Au0K8e+mU=
=/4QI
—–END PGP SIGNATURE—–
