Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Phusion Passenger < 5.1.10 Enterprise Phusion Passenger < 5.1.11 Betroffene Plattformen: SUSE Linux Enterprise Module for Containers 12 Ein entfernter, einfach authentisierter Angreifer kann eine Schwachstelle in Phusion Passenger ausnutzen, um beliebige Dateien auszupähen und somit unter Umständen das komplette System zu kompromittieren. Voraussetzung ist, dass Passenger mit root-Privilegien ausgeführt wird und dass der Angreifer Schreibrechte im Stammverzeichnis der App besitzt. Im offiziellen Release von Passenger wird die Schwachstelle mit Version 5.1.11 OpenSource bzw. 5.1.10 Enterprise Edition behoben. Für SUSE Linux Enterprise Module for Containers 12 steht ein Sicherheitsupdate für das Paket 'rubygem-passenger' zur Behebung der Schwachstelle zur Verfügung. In der zugehörigen Meldung SUSE-SU-2018:0262-1 wird auch CVE-2017-1000384 referenziert, welche allerdings bei NVD den Status 'REJECT' hat und durch CVE-2017-16355 ersetzt wurde. Patch: SUSE Security Update SUSE-SU-2018:0262-1 http://lists.suse.com/pipermail/sle-security-updates/2018-January/003658.html

CVE-2017-16355: Schwachstelle in Passenger ermöglicht Ausspähen von
Informationen

In der Datei ‘agent/Core/SpawningKit/Spawner.h’ in Phusion Passenger 5.1.10
existiert eine Schwachstelle aufgrund ungenügender Durchsetzung von
Zugriffsbeschränkungen. Passenger ermöglicht die Anzeige einer
benutzerdefinierten Statusnachricht in Form einer Datei mit dem Namen
REVISION im Stammverzeichnis der App. Dabei prüft Passenger nicht, ob es
sich bei der Datei um einen Symbolischen Link handelt. Ist dies der Fall,
kann durch einen Befehl der Inhalt der Datei – auch für Benutzer mit
niedrigen Privilegien – ausgegeben werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0207/

Schwachstelle CVE-2017-1000384 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000384

Schwachstelle CVE-2017-16355 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16355

SUSE Security Update SUSE-SU-2018:0262-1:
http://lists.suse.com/pipermail/sle-security-updates/2018-January/003658.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.