DFN-CERT-2012-1049 Schwachstelle in den Network UPS Tools (NUT) [Linux][Debian]

- 04. Juni 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket nut in Debian GNU/Linux 6.0 (squeeze) vor Version 2.4.3-1.1squeeze2
Für Pakete in Debian GNU/Linux 7.0 (wheezy) werden Patches nachgereicht
Für Pakete in Debian GNU/Linux unstable (sid) werden Patches nachgereicht

Betroffene Plattformen:

Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux 7.0 (wheezy)
Debian GNU/Linux unstable (sid)

Eine Schwachstelle bei der Verarbeitung von Stringketten in den Network UPS
Tools (NUT) erlaubt es einem Angreifer schlimmstenfalls beliebige Befehle
mit den Rechten der Anwendung zu starten.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2012-2944: Schwachstelle in den Network UPS Tools (NUT)

In der Funktion addchar() in den Network UPS Tools ist eine Schwachstelle
vorhanden, welche beim Parsen der Programmkonfiguration auftritt. Gelingt es
einem Angreifer in die NUT Konfigurationsdatei eine besonders lange
Stringkette einzufügen oder über einen Netzwerkport an den lauschenden
Daemon zu senden, welche zudem nicht druckbare Zeichen enthält, so kann er
damit einen Absturz der Anwendung auslösen oder schlimmstenfalls beliebige
Befehle mit deren Rechten ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1049/

Das Hersteller Advisory:
http://www.debian.org/security/2012/dsa-2484

Schwachstelle CVE-2012-2944:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2944