—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
Nss_db ist eine Network Service Switch (NSS) Modul, dass die Berkeley
Database als Quelle fuer Aliase, Gruppen, Netzwerke, Dienste und
Aehnliches verwendet.
CVE-2010-0826 – Schwachstelle in nss_db
Das Modul nss_db versucht, die Datei DB_CONFIG in dem aktuellen
Arbeitsverzeichnis zu lesen, wenn es gestartet wird. Dabei wird auch
Symlinks gefolgt, die diesen Namen haben. Sollte das Programm dabei in
einem setuid-Prozess ausgefuehrt werden, erhaelt ein lokaler Angreifer
Informationen aus der Datei, auf die der Link zeigt. Ein weiteres
Angriffsszenario ist das Unterschieben einer gefaelschten Konfiguration.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket nss_db
Fedora 11
Fedora 12
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2010-May/040907.html
http://lists.fedoraproject.org/pipermail/package-announce/2010-May/040881.html
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Jan Kohlrausch (CSIRT), Phone +49 40 808077-555
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
CarmentiS – Early Warning Expertise
https://www.carmentis.org
– ——————————————————————————–
Fedora Update Notification
FEDORA-2010-6361
2010-04-10 08:52:51
– ——————————————————————————–
Name : nss_db
Product : Fedora 12
Version : 2.2
Release : 47.fc12
URL : http://sources.redhat.com/glibc/
Summary : An NSS library for the Berkeley DB
Description :
Nss_db is a set of C library extensions which allow Berkeley Databases
to be used as a primary source of aliases, ethers, groups, hosts,
networks, protocol, users, RPCs, services, and shadow passwords
(instead of or in addition to using flat files or NIS). Install nss_db
if your flat name service files are too large and lookups are slow.
– ——————————————————————————–
Update Information:
Stephane Chazelas reported that the nss_db module attempts to read a DB_CONFIG
file in the current directory when it is used. If the contents of the file
can’t be parsed properly, the copy of libdb which nss_db uses will print an
error message. If nss_db is invoked from a setuid process, it may then expose
privileged information to the unprivileged user who started the process. This
update imports Kees Cook’s fix for the issue (CVE-2010-0826).
– ——————————————————————————–
ChangeLog:
* Wed Apr 7 2010 Nalin Dahyabhai
– – import Kees Cook’s patch to fix accidental leakage of part of ./DB_CONFIG
(#580191, CVE-2010-0826)
* Fri Feb 5 2010 Nalin Dahyabhai
– – correct some tests in the patch for detecting SELinux support (#562052)
– ——————————————————————————–
References:
[ 1 ] Bug #580187 – CVE-2010-0826 nss_db: Information leak due the DB_CONFIG file read from current working directory
https://bugzilla.redhat.com/show_bug.cgi?id=580187
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update nss_db’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)
iD8DBQFL4tKWWmhIvjFb90URAptyAKCWRbzFwQI6lth2AJZ/eUOUX2VeiACeLkgB
W5jPlaerEDJ9JzHgunHeiOI=
=Jn+d
—–END PGP SIGNATURE—–
