Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Snoppy < 2.0.0 Betroffene Plattformen: Debian Linux 7.8 Wheezy Eine Schwachstelle in Snoopy ermöglicht einem entfernten, nicht authentifizierten Angreifer beliebigen Programmcode auszuführen. Debian stellt für die alte, stabile Distribution Wheezy ein Sicherheitsupdate bereit. Für die neue stabile Distribution Jessie wurde das Problem vor dem initialen Release behoben. (In den Testing-Versionen von Jessie ist die Schwachstelle also enthalten.) Patch: Debian Security Advisory DSA-3248-1 https://www.debian.org/security/2015/dsa-3248

CVE-2014-5008: Schwachstelle in Snoopy ermöglicht Ausführen beliebigen
Programmcodes

Eine Schwachstelle in Snoopy führt dazu, dass Benutzereingaben nicht korrekt
bereinigt werden. Aufgrund eines Fehlers bei der Verarbeitung von URLs in
der Funktion ‘_httpsrequest()’ werden Shell-Metazeichen nicht erkannt, was
dazu führt, dass über einen ‘exec()’-Aufruf lokal Programme mit den Rechten
des Webservers ausgeführt werden können. Die Bibliothek wird in mehreren
PHP-Projekten eingesetzt, welche ebenfalls von dieser Schwachstelle
betroffen sind.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0644/

Debian Security Advisory DSA-3248-1:
https://www.debian.org/security/2015/dsa-3248

Schwachstelle CVE-2014-5008 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5008

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.