Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Samba
Betroffene Plattformen:
Solaris 10 SPARC: ohne Patch 119757-27
Solaris 10 X86: ohne Patch 119758-27
Solaris 11.1: bitte den Support kontaktieren
Zwei Schwachstellen in Samba ermöglichen einem entfernten Angreifer
unbeabsichtigte Änderungen an den Samba-Einstellungen durchzuführen und
Script-Code im Browser des Benutzers auszuführen.
Software Upgrade:
Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.
CVE-2013-0214: Schwachstelle in Samba (SWAT)
In dem Samba Web Administration Tool werden einige dynamische Eingaben nicht
vollständig bereinigt. Einem entfernten Angreifer ist es mittels
Cross-Site-Scripting möglich, Änderungen in den Samba-Einstellungen
durchzuführen, falls er einen angemeldeten SWAT-Nutzer dazu bringt, einen
präparierten Link zu benutzen.
CVE-2013-0213: Schwachstelle in Samba (SWAT)
In dem Samba Web Administration Tool existiert eine
“Clickjacking”-Schwachstelle. Einem entfernten Angreifer ist es damit
möglich, eine SWAT-Webseite in eine bösartige Webseite mittels
*frame-Anweisungen einzubetten und diese dann mit anderen Inhalten zu
überlagern. Falls es dem Angreifer gelingt, einen angemeldeten Benutzer dazu
zu bringen, mit dieser schadhaften Seite zu interagieren, ist es möglich,
dass dies zu unbeabsichtigten Änderungen an den Samba-Einstellungen führt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0856/
Das Hersteller Advisory:
https://blogs.oracle.com/sunsecurity/entry/multiple_vulnerabilities_in_samba_web
Schwachstelle CVE-2013-0213:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0213
Schwachstelle CVE-2013-0214:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0214
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
