DFN-CERT-2013-0731 Mehrere Schwachstellen in Puppet [Linux][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket puppet

Betroffene Plattformen:

openSUSE 11.4

Mehrere Schwachstellen in Puppet ermöglichen es einem Client
schlimmstenfalls beliebige Befehle auf dem Puppet Master auszuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://download.novell.com/index.jsp

CVE-2013-1653: Schwachstelle in Puppet ermöglicht Codeausführung

In Puppet wurde eine Schwachstelle wurde gefunden, die authentisierten
Benutzern ermöglicht beliebige Befehle auf Puppet-Agenten auszuführen,
vorausgesetzt diese akzeptieren sogenannte ‘Kick’-Connections. Diese
Schwachstelle tritt auf, wenn der Agent so konfiguriert wurde, dass er auf
eingehende Verbindungen lauscht und Zugriff auf die ‘run’-Funktion der
REST-API erlaubt.

CVE-2013-2275: Schwachstelle in Puppet

Puppet enthält im Puppet Master Dienst eine Schwachstelle. Ursache ist ein
Fehler in der Konfigurationsdatei ‘auth.conf’ welcher es einem
authentisierten Node ermöglicht, einen Report auf jedem anderen Node zu
speichern. Diese Schwachstelle wurde durch eine Anpassung der
Default-Konfiguration behoben.

CVE-2013-1640: Schwachstelle in Puppet

Eine Schwachstelle in Puppet ermöglicht es einem authentisiertem Benutzer
beliebige Befehle im Rechtekontext der betroffenen Anwendung auszuführen.
Grund dafür ist ein Fehler in den Funktionen ‘template()’ und
‘inline_template()’ welcher auftritt, falls diese Funktionen während der
Erzeugung eines Kataloges ausgeführt werden.

CVE-2013-1652: Schwachstelle in Puppet

Eine Schwachstelle in Puppet erlaubt es einem authentifizierten Client sich
zu einem Puppet Master zu verbinden und auf diesem beliebige Befehle
auszuführen, für deren Ausführung er eigentlich keine Rechte besitzt.
Insbesondere ermöglicht dies, ein valides Zertifikat und einen privaten
Schlüsse vorausgesetzt, Kataloge von einem Master zu erlangen oder
Cache-Inhalte zu überschreiben.

CVE-2013-1654: Schwachstelle in Puppet

Puppet enthält eine Schwachstelle bei der Protokoll-Verhandlung, die dazu
führt, dass es einem Client möglich ist, für eine SSL-Verbindung das
Protokoll SSLv2 erfolgreich zu fordern. Ein Angreifer, dem es gelingt, diese
Schwachstelle auszunutzen macht die Verbindung zum Server potentiell mit in
SSLv2 enthaltenen Schwachstellen angreifbar.

CVE-2013-1655: Schwachstelle in Puppet ermöglicht Codeausführung

Eine Schwachstelle in Puppet kann es einem nicht authentisierten Client
ermöglichen, Requests an einen Puppet Master zu schicken, was dazu führen
kann, dass auf dem Master Programmcode geladen und ausgeführt wird. Die
Schwachstelle ähnelt der in Ruby on Rails vorhandenen Schwachstelle
CVE-2013-0156.

CVE-2013-2274: Schwachstelle in Puppet ermöglicht Codeausführung

Eine Schwachstelle in Puppet erlaubt es einem authentisierten Client
beliebige Befehle auf dem Puppet Master auszuführen, falls dieser die
Default-Konfiguration verwendet. Alternativ ist die Schwachstelle auch auf
einem Agenten mit der aktivierten Option ‘puppet kick’ aus nutzbar. Ursache
für die Schwachstelle ist ein Fehler bei der Verarbeitung von HTTP-PUT
Requests welcher bei speziell präparierten Requests die Codeausführung
ermöglicht.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0731/

Das Hersteller Advisory:
http://lists.opensuse.org/opensuse-updates/

Schwachstelle CVE-2013-1640:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1640

Schwachstelle CVE-2013-1652:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1652

Schwachstelle CVE-2013-1653:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1653

Schwachstelle CVE-2013-1654:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1654

Schwachstelle CVE-2013-1655:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1655

Schwachstelle CVE-2013-2274:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2274

Schwachstelle CVE-2013-2275:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2275