Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Spacewalk
Betroffene Plattformen:
SUSE Manager Proxy 3.0
SUSE Manager Server 3.0
SUSE Manager Tools 12
Red Hat Network Satellite 5.6 for RHEL 5
Red Hat Network Satellite 5.6 for RHEL 6
Red Hat Network Satellite 5.7 for RHEL 6
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP4
Im Backend von Spacewalk existiert eine Schwachstelle, die es einem
entfernten, einfach authentisierten Angreifer ermöglicht administrative
Aufgaben durchzuführen und dadurch Einfluss auf die Integrität des über
Spacewalk verwalteten Systemverbunds zu nehmen. Als mögliche Angreifer
werden Benutzer der Software ohne Administratorrechte, aber auch gesperrte
(disabled) Benutzer genannt.
Red Hat stellt für Red Hat Satellite 5.6 für Red Hat Enterprise Linux 5 und
6 sowie für Red Hat Satellite 5.7 für Red Hat Enterprise Linux 6
Sicherheitsupdates für ‘spacewalk-backend’ bereit, um die Schwachstelle zu
beheben.
Für SUSE Manager Proxy 3.0, SUSE Manager Server 3.0 sowie die SUSE Manager
Client Tools (als verwundbare Produkte werden SUSE Linux Enterprise Server
11-SP3-CLIENT-TOOLS, SUSE Linux Enterprise Server 11-SP4-CLIENT-TOOLS und
SUSE Manager Tools 12 genannt) stehen ebenfalls Sicherheitsupdates für
‘spacewalk-backend’ bereit.
Patch:
Red Hat Security Advisory RHSA-2017:1259-1
http://rhn.redhat.com/errata/RHSA-2017-1259.html
Patch:
SUSE Security Update SUSE-SU-2017:1346-1
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002897.html
Patch:
SUSE Security Update SUSE-SU-2017:1347-1
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002898.html
Patch:
SUSE Security Update SUSE-SU-2017:1349-1
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002899.html
Patch:
SUSE Security Update SUSE-SU-2017:1352-1
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002901.html
CVE-2017-7470: Schwachstelle in Spacewalk ermöglicht Privilegieneskalation
In ‘backend/server/rhnChannel.py’ von Spacewalk wird eine
Autorisierungsprüfung fehlerhaft durchgeführt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0887/
Red Hat Security Advisory RHSA-2017:1259-1:
http://rhn.redhat.com/errata/RHSA-2017-1259.html
SUSE Security Update SUSE-SU-2017:1346-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002897.html
SUSE Security Update SUSE-SU-2017:1347-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002898.html
SUSE Security Update SUSE-SU-2017:1349-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002899.html
SUSE Security Update SUSE-SU-2017:1352-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002901.html
Schwachstelle CVE-2017-7470 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7470
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
