Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Munin < 2.999.6 Betroffene Plattformen: Debian Linux 8.7 Jessie Ein lokaler, nicht authentisierter Angreifer kann diese Schwachstelle ausnutzen, durch das Setzen mehrfacher 'upper_limit' GET Parameter, und dadurch jede für den 'www-data'-Benutzer zugreifbare Datei überschreiben, d.h. Dateien manipulieren. Debian stellt für die Distribution Debian Jessie (stable) ein Sicherheitsupdate für Munin zur Verfügung, um die Schwachstelle zu beheben. Patch: Debian Security Advisory DSA-3794-1 https://www.debian.org/security/2017/dsa-3794

CVE-2017-6188: Schwachstelle in Munin ermöglicht Manipulation von Dateien

In Munin bevor 2.999.6 existiert eine Schwachstelle, wenn die Nutzung von
CGI-Graphen möglich ist (CGI Graphs enabled).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0345/

Schwachstelle CVE-2017-6188 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6188

Debian Security Advisory DSA-3794-1:
https://www.debian.org/security/2017/dsa-3794

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.