UPDATE: DFN-CERT-2013-1851 Roundcube: Schwachstelle ermöglicht Ausführen von Programmcode [Linux][Debian][Fedora][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (13.03.2014):
Für openSUSE 12.3 und 13.1 wurden Sicherheitsupdates veröffentlicht.
Version 1 (28.10.2013):
Neues Advisory

Betroffene Software:

Roundcube Webmail <= 0.9.4 Betroffene Plattformen: Debian Linux 6.0.8 Squeeze Debian Linux 7.2 Wheezy Debian Linux 8.0 Jessie openSUSE 12.3 openSUSE 13.1 Red Hat Fedora 18 Red Hat Fedora 19 Red Hat Fedora 20 In roundcube wird beim Speichern der Einstellungen ein Session Parameter nicht ordentlich aufgeräumt. Hierdurch können Konfigurationen überschrieben werden, wodurch die Integrität und Vertraulichkeit der Daten beeinträchtigt und sogar Programmcode (bis roundcube Version 0.8.6) zur Ausführung gebracht werden kann. Patch: Schwachstelle CVE-2013-6172 (roundcube) http://roundcube.net/news/2013/10/21/security-updates-095-and-087/

Patch:

Fedora Update FEDORA-2013-19699

https://admin.fedoraproject.org/updates/FEDORA-2013-19699/roundcubemail-0.9.5-1.fc20

Patch:

Fedora Update FEDORA-2013-19729

https://admin.fedoraproject.org/updates/FEDORA-2013-19729/roundcubemail-0.9.5-1.fc19

Patch:

Fedora Update FEDORA-2013-19745

https://admin.fedoraproject.org/updates/FEDORA-2013-19745/roundcubemail-0.9.5-1.fc18

Patch:

Debian Hersteller Advisory

http://www.debian.org/security/2013/dsa-2787

Patch:

openSUSE Security Update openSUSE-SU-2014:0365-1

http://lists.opensuse.org/opensuse-updates/2014-03/msg00035.html

CVE-2013-6172: Schwachstelle in roundcube

In roundcube, Versionen vor 0.8.7 und 0.9.5, wird der Session Parameter
steps/utils/save_pref.inc beim Speichern der Einstellungen nicht ordentlich
aufgeräumt. Diese Schwachstelle ermöglicht einem entfernten, nicht
authentifizierten Angreifer Konfigurationen zu überschreiben und sich
dadurch Zugriff auf zufällige Dateien zu verschaffen, SQL Abfragen zu
manipulieren oder auch Programmcode (bis 0.8.6) auszuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1851/

Schwachstelle CVE-2013-6172 (Red Hat):
https://access.redhat.com/security/cve/CVE-2013-6172

Schwachstelle CVE-2013-6172 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6172

Schwachstelle CVE-2013-6172 (roundcube):
http://roundcube.net/news/2013/10/21/security-updates-095-and-087/

Fedora Update FEDORA-2013-19699:
https://admin.fedoraproject.org/updates/FEDORA-2013-19699/roundcubemail-0.9.5-1.fc20

Fedora Update FEDORA-2013-19729:
https://admin.fedoraproject.org/updates/FEDORA-2013-19729/roundcubemail-0.9.5-1.fc19

Fedora Update FEDORA-2013-19745:
https://admin.fedoraproject.org/updates/FEDORA-2013-19745/roundcubemail-0.9.5-1.fc18

Debian Hersteller Advisory:
http://www.debian.org/security/2013/dsa-2787

openSUSE Security Update openSUSE-SU-2014:0365-1:
http://lists.opensuse.org/opensuse-updates/2014-03/msg00035.html