Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Ansible < 2.2.3 Betroffene Plattformen: SUSE OpenStack Cloud 7 Mehrere Schwachstellen in Ansible ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes mit Benutzerrechten oder mit den Rechten des Dienstes. Für SUSE OpenStack Cloud 7 steht ein Sicherheitsupdate für 'ansible' bereit, mit denen Ansible auf Version 2.2.3.0 aktualisiert wird, um diese Schwachstellen zu beheben. Aus Kompatibilitätsgründen wird gleichzeitig 'monasca-installer' aktualisiert. Patch: SUSE Security Update SUSE-SU-2017:3029-1 http://lists.suse.com/pipermail/sle-security-updates/2017-November/003400.html

CVE-2017-7481: Schwachstelle in Ansible ermöglicht Ausführung beliebigen
Programmcodes

Die Ergebnisse der Funktion ‘lookup’ werden unter Umständen von Ansible vor
Version 2.3.1 nicht korrekt als ‘unsicher’ markiert. Ein entfernter, nicht
authentisierter Angreifer, der die Ergebnisse eines Aufrufs von ‘lookup’
kontrollieren kann, kann Unicode-Zeichen in diese Ergebnisse injizieren, die
bei Verarbeitung durch das Template-System ‘jinja2’ zur Ausführung
beliebigen Programmcodes führen können.

CVE-2017-7466: Schwachstelle in Ansible ermöglicht Ausführung beliebigen
Programmcodes mit den Rechten des Dienstes

In Ansible existiert eine nicht näher beschriebene Schwachstelle aufgrund
der unzureichenden Validierung von Eingaben. Ein entfernter, nicht
authentisierter Angreifer, der Kontrolle über ein Client-System hat und in
der Lage ist, Informationen an den Ansible-Server zurück zu schicken, kann
beliebigen Programmcode auf dem Ansible-Controller mit den
Ansible-Server-Privilegien zur Ausführung bringen (unvollständige
Fehlerbehebung für CVE-2016-9587).

CVE-2016-9587: Schwachstelle in Ansible ermöglicht Ausführung beliebigen
Programmcodes mit den Rechten des Dienstes

In Ansible existiert eine nicht näher beschriebene Schwachstelle aufgrund
der unzureichenden Validierung von Eingaben. Ein entfernter, nicht
authentisierter Angreifer, der Kontrolle über ein Client-System hat und in
der Lage ist, Informationen an den Ansible-Server zurück zu schicken, kann
beliebigen Programmcode auf dem Ansible-Controller mit den
Ansible-Server-Privilegien zur Ausführung bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2078/

Schwachstelle CVE-2016-9587 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9587

Schwachstelle CVE-2017-7466 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7466

Schwachstelle CVE-2017-7481 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7481

SUSE Security Update SUSE-SU-2017:3029-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-November/003400.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.