DFN-CERT-2012-0971 Mehrere Schwachstellen in Rubygem-actionmailer [Linux][Fedora]

- 21. Mai 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket rubygem-actionmailer

Betroffene Plattformen:

Fedora 15
Fedora 16

Schwachstellen in rubygem-mail erlauben einem lokalen Angreifer die
Ausführung von beliebigen Befehlen mit den Rechten der Anwendung.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2012-2140: Schwachstelle in rubygem-mail

In rubygem-mail werden Befehle bei der Nutzung von exim und sendmail auf der
Kommandozeile nicht ausreichend bereinigt. Dies ermöglicht einem lokalen
Angreifer beliebige Befehle zur Ausführung zu bringen.

CVE-2012-2139: Schwachstelle in rubygem-mail

In der Datei file_delivery_spec.rb von rubygem-mail existiert eine
Schwachstelle, die einem Angreifer ein Directory-Traversal erlaubt und somit
das Auslesen von beliebigen Dateien aus dem Dateisystem.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0971/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-May/080648.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-May/080645.html

Schwachstelle CVE-2012-2139:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2139

Schwachstelle CVE-2012-2140:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2140