Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Open Build Service (OBS)

Betroffene Plattformen:

SUSE Linux Enterprise Software Development Kit 11 SP4

Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle
CVE-2016-4007 ausnutzen, um beliebige Kommandos mit den Rechten des
Administrators zur Ausführung zu bringen. Die Auswirkungen der
Schwachstellen CVE-2017-14804 und CVE-2017-9274 sind nicht näher
spezifiziert.

Für SUSE Linux Enterprise Software Development Kit 11 SP4 stehen
Sicherheitsupdates für die Pakete ‘build’ und ‘obs-service-source_validator’
der ‘OBS toolchain’ zur Verfügung, mit denen neben den Schwachstellen auch
mehrere Fehler behoben werden. Das Sicherheitsupdate wird vom Hersteller als
‘important’ eingestuft.

Patch:

SUSE Security Update SUSE-SU-2018:0065-1

http://lists.suse.com/pipermail/sle-security-updates/2018-January/003585.html

CVE-2017-9274: Schwachstelle in OBS-Toolchain ermöglicht nicht näher
spezifizierte Angriffe

Eine nicht weiter beschriebene Schwachstelle in der Open Build Service
(OBS)-Toolchain im Paket ‘obs-service-source_validator’ existiert aufgrund
der (potentiell unsicheren) Verwendung von ‘rpmbuild’ zum Extrahieren von
Sources, Patches etc. aus einer ‘spec’. Ein wahrscheinlich entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, um nicht näher
spezifizierte Angriffe durchzuführen, infolgedessen er möglicherweise Daten
manipulieren kann.

CVE-2017-14804: Schwachstelle in OBS-Toolchain ermöglicht nicht näher
spezifizierte Angriffe

Eine Schwachstelle in der Open Build Service (OBS)-Toolchain im Paket
‘build’ besteht darin, dass Dateinamen beim Extrahieren ungenügend geprüft
werden, wodurch nicht näher spezifizierte Angriffe möglich sind,
möglicherweise auch ein Symlink-Angriff durch den Dateien mit den Rechten
des Programms überschrieben werden können. Ein wahrscheinlich entfernter,
nicht authentisierter Angreifer kann diese Schwachstelle möglicherweise
ausnutzen, um Dateien zu manipulieren.

CVE-2016-4007: Schwachstellen in ‘obs-service-source_validator’ ermöglichen
Ausführen beliebigen Programmcodes

In dem Paket ‘obs-service-extract_file’ existieren mehrere, nicht näher
spezifizierte Schwachstellen, welche das Einschleusen von Programmcode und
Parametern erlauben. Durch schädliche Service-Definitionen können Kommandos
ausgeführt oder Änderungen am Dateisystem des Benutzers vorgenommen werden.
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstellen
über eine Service-Definition ausnutzen, etwa indem Unzip mit nicht
zulässigen Optionen ausgeführt wird, um beliebige Kommandos mit den Rechten
des Administrators zur Ausführung zu bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0079/

Schwachstelle CVE-2016-4007 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4007

Schwachstelle CVE-2017-14804 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-14804

Schwachstelle CVE-2017-9274 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9274

SUSE Security Update SUSE-SU-2018:0065-1:
http://lists.suse.com/pipermail/sle-security-updates/2018-January/003585.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.