—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgende Warnung des Debian-Teams. Wir geben
diese Informationen unveraendert an Sie weiter.

CVE-2011-3211 – Schwachstelle in bcgf2

Im Konfigurationsmanagementsystem bcfg2 werden Eingaben von
bcfg2-Clients nicht ausreichend bereinigt, bevor diese auf dem
bcfg2-Server innerhalb von Shell-Kommandos verwendet werden. Dies
ermoeglicht einem Angreifer mit Kontrolle ueber einen bcfg2-Client
beliebige Befehle auf dem Server mit Root-Privilegien zur Ausfuehrung zu
bringen.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket bcfg2 in Debian GNU/Linux 5.0 (lenny) vor Version
0.9.5.7-1.1+lenny1
Paket bcfg2 in Debian GNU/Linux 6.0 (squeeze) vor Version
1.0.1-3+squeeze1
Paket bcfg2 in Debian GNU/Linux 7.0 (wheezy) vor Version
1.0.1-3+squeeze1
Paket bcfg2 in Debian GNU/Linux unstable (sid) vor Version 1.1.2-2

Debian GNU/Linux 5.0 (lenny)
Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux 7.0 (wheezy)
Debian GNU/Linux unstable (sid)

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Matthias Braeck

– —
Matthias Braeck (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn

– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

– – ————————————————————————–
Debian Security Advisory DSA-2302-1 security@debian.org
http://www.debian.org/security/ Nico Golde
Sep 7, 2011 http://www.debian.org/security/faq
– – ————————————————————————–

Package : bcfg2
Vulnerability : missing input sanitization
Problem type : remote
Debian-specific: no
Debian bug : 640028
CVE IDs : CVE-2011-3211

It has been discovered that the bcfg2 server, a configuration management
server for bcfg2 clients, is not properly sanitizing input from bcfg2
clients before passing it to various shell commands. This enables an
attacker in control of a bcfg2 client to execute arbitrary commands on
the server with root privileges.

For the oldstable distribution (lenny), this problem has been fixed in
version 0.9.5.7-1.1+lenny1.

For the stable distribution (squeeze), this problem has been fixed in
version 1.0.1-3+squeeze1

For the testing distribution (wheezy), this problem has been fixed in
version 1.1.2-2.

For the unstable distribution (sid), this problem has been fixed in
version 1.1.2-2.

We recommend that you upgrade your bcfg2 packages.

Further information about Debian Security Advisories, how to apply
these updates to your system and frequently asked questions can be
found at: http://www.debian.org/security/

Mailing list: debian-security-announce@lists.debian.org
– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.11 (GNU/Linux)

iEYEARECAAYFAk5n3o8ACgkQHYflSXNkfP8b7ACgp+fXEgZM145c7GlpImujTpmu
bhcAn2+d59U2bPcL+3yFsmRIqU81kdO8
=PfaR
– —–END PGP SIGNATURE—–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)

iQEcBAEBAgAGBQJOaMDEAAoJEJtyb8U7iGZB52AH/REoAVk8g1HMr71ZszB5AVgI
c7/LJ6Nt15CwwdozmTfeQR+TIBXZMFDqAoOqc6N++d7fVE6Ge+gY/HrM3jMGB6Pn
gQz+EEEMfs0II1BlJ/2nwVwdYx8PI/6/PoUha7+9BNBSUKXm4IlEbX1JsKC9A/lv
T3r+P6QYunH9eKP25ZHC/SFVn9jER3QfZHLnENk1T3U8vcr65OlfZnz/ubjTVUsX
OeoH3M/d5cHVwZgreH/jZxA02Z25j22OOXmcGxmXgUz6SyCMUlERmwrZ+TFNGR2H
vg10hSUFpPlyUpcsKOmv9q66mCnfamC2OkpEdLAaPhoAjEP5/5PyIhB+/jLaFuA=
=W8ao
—–END PGP SIGNATURE—–