DFN-CERT-2012-1145 Schwachstelle in Network UPS Tools (NUT) [Linux][Fedora]

- 15. Juni 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket nut

Betroffene Plattformen:

Fedora 15
Fedora 16
Fedora 17

Eine Schwachstelle in den Network UPS Tools (NUT) erlaubt einem lokalen
Angreifer schlimmstenfalls beliebige Befehle mit den Rechten der Anwendung
auszuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2012-2944: Schwachstelle in den Network UPS Tools (NUT)

In der Funktion addchar() in den Network UPS-Tools ist eine Schwachstelle
vorhanden, welche beim Parsen der Programmkonfiguration auftritt. Gelingt es
einem Angreifer in die NUT-Konfigurationsdatei eine besonders lange
Zeichenkette einzufügen oder über einen Netzwerkport an den lauschenden
Daemon zu senden, welche zudem nicht druckbare Zeichen enthält, so kann er
damit einen Absturz der Anwendung auslösen oder schlimmstenfalls beliebige
Befehle mit deren Rechten ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1145/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/082208.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/082247.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/082219.html

Schwachstelle CVE-2012-2944:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2944