DFN-CERT-2012-0632 Schwachstelle im EMI VO-Management System (VOMS) [Linux][Unix][Grid]

- 05. April 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

VOMS 2.0.2 im EMI

Betroffene Plattformen:

Alle Plattformen, auf denen die verwundbare Software läuft.

Ein Angreifer kann eine Schwachstelle im EMI VOMS Service bezüglich der
Auswertung von CRLs unter Umständen ausnutzen, um nicht-autorisiert auf
Grid-Dienste zuzugreifen.

Softwareupgrade:

Der Hersteller stellt überarbeitete Softwareversionen zur Verfügung

http://repository.egi.eu/category/umd_releases/distribution/umd_1/

Schwachstelle im EMI VO-Management System (VOMS)

Aufgrund eines Fehlers im EMI VOMS Service werden CRLs nicht korrekt
ausgewertet. Dies kann zum Einen dazu führen, dass legitime Zertifikate als
ungültig behandelt werden. Weiterhin kann der Fehler dazu führen, dass
Benutzer mittels Zertifikate, die durch die CRL gesperrt sind, trotzdem
einen Proxy erzeugen können. Ein Angreifer kann diese Schwachstelle unter
Umständen ausnutzen, um nicht-autorisiert über den Proxy auf Grid-Dienste
zuzugreifen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0632/

Das Hersteller Advisory:
https://wiki.egi.eu/wiki/SVG:Advisory-SVG-2012-3438