DFN-CERT-2013-1564 Ansible: Mehrere Schwachstellen ermöglichen die Manipulation von Dateien [Linux][Fedora][RedHat][Unix]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Red Hat Fedora <= 18 Red Hat Fedora <= 19 Betroffene Plattformen: Fedora Linux RedHat UNIX Ein lokaler Angreifer kann diese Schwachstellen ausnutzen, um Dateien zu manipulieren oder schlimmstenfalls eine SSH-Verbindung umzulenken. Patch: Fedora 18 Update Notification https://lists.fedoraproject.org/pipermail/package-announce/2013-August/114905.html

Patch:

Fedora 19 Update Notification

https://lists.fedoraproject.org/pipermail/package-announce/2013-August/114924.html

CVE-2013-4260: Schwachstelle in Ansible

Ansible speichert Ergebnisse fehlgeschlagener Operationen in einer allgemein
schreibbaren und vorhersagbaren Datei in ‘/var/tmp’. Dies ermöglicht einem
lokalen Angreifer durch das Setzen eines SymLinks auf eine beliebige andere
Datei diese mit den Rechten von Ansible zu überschreiben.

CVE-2013-4259: Schwachstelle in Ansible

Ansible erzeugt eine SSH-ControlMaster-Datei mit einem vorhersagbaren Namen
im allgemein schreibbaren Verzeichnis ‘/tmp’. Dies ermöglicht einem lokalen
Angreifer durch das Erstellen einer solchen Datei und das Anlegen eines
SSH-Sockets eine SSH-Verbindung zu einem anderen Server umzuleiten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1564/

Schwachstelle CVE-2013-4259 (Red Hat):
https://access.redhat.com/security/cve/CVE-2013-4259

Schwachstelle CVE-2013-4260 (Red Hat):
https://access.redhat.com/security/cve/CVE-2013-4260

Fedora 18 Update Notification:
https://lists.fedoraproject.org/pipermail/package-announce/2013-August/114905.html

Fedora 19 Update Notification:
https://lists.fedoraproject.org/pipermail/package-announce/2013-August/114924.html

Schwachstelle CVE-2013-4259 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4259

Schwachstelle CVE-2013-4260 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4260