Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

MinGW
Nullsoft Scriptable Install System (NSIS) < 2.50 Betroffene Plattformen: Red Hat Fedora 22 Red Hat Fedora 23 Eine Schwachstelle in dem Windows Installer Development Tool 'Nullsoft Scriptable Install System' (NSIS) erlaubt einem entfernten, nicht authentifizierten Angreifer mit Hilfe präparierter Windows-Installationsprogramme auf verschiedene Weise beliebigen Programmcode mit Administratorrechten auf dem Windows-System eines Benutzers ausführen, wenn er diesen zum Aufruf des Installationsprogramms verleiten kann. Der Hersteller stellt mit der Programmversion NSIS 2.50 ein Sicherheitsupdate bereit, das die Anfälligkeit der erstellten Installationsdateien für die Schwachstelle behebt. Die Erstellung von Windows-Installationsdateien in Fedora wird über MinGW und NSIS ermöglicht. Für die Distributionen Fedora 22 und 23 stehen die entsprechenden Sicherheitsupdates in Form der Pakete mingw-nsis-2.50-1.fc22 und mingw-nsis-2.50-1.fc23 zur Verfügung, welche sich derzeit noch im Status 'pending' befinden. Patch: Fedora Security Update FEDORA-2016-24d134e494 (Fedora 22, NSIS 2.50) https://bodhi.fedoraproject.org/updates/FEDORA-2016-24d134e494

Patch:

Fedora Security Update FEDORA-2016-637618fcd4 (Fedora 23, NSIS 2.50)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-637618fcd4

Patch:

NSIS Release Notes 2.50 (F.8.1.2)

http://nsis.sourceforge.net/Docs/AppendixF.html#v2.50

NSIS Bug ID 1125: Schwachstelle in NSIS ermöglicht Ausführen beliebigen
Programmcodes mit Administratorrechten

Installationsdateien für Windows-Programme, die mit Hilfe des
Entwicklungswerkzeugs NSIS erstellt werden, können durch die versteckte
Einbindung oder Ersetzung von DLL-Dateien (Dynamic Link Library) dazu
verwendet werden, beliebigen Programmcode auf dem Windows-Zielsystem
auszuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0309/

Fedora Security Update FEDORA-2016-24d134e494 (Fedora 22, NSIS 2.50):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-24d134e494

Fedora Security Update FEDORA-2016-637618fcd4 (Fedora 23, NSIS 2.50):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-637618fcd4

NSIS Release Notes 2.50 (F.8.1.2):
http://nsis.sourceforge.net/Docs/AppendixF.html#v2.50

Red Hat Bug 1309882 – Security: NSIS < 2.50 allows DLL hijacking: https://bugzilla.redhat.com/show_bug.cgi?id=1309882

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.