UPDATE: DFN-CERT-2014-0383 PostfixAdmin: Eine Schwachstelle ermöglicht Manipulation von Daten [Linux][Debian][SuSE]

- 27. Mai 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (27.05.2014):
Für die Distributionen openSUSE 12.3 und openSUSE 13.1 stehen
Sicherheitspatches bereit.
Version 1 (31.03.2014):
Neues Advisory

Betroffene Software:

PostfixAdmin <= 2.3.5 Betroffene Plattformen: Debian Linux 7.4 Wheezy Debian Linux 8.0 Jessie openSUSE 12.3 openSUSE 13.1 Eine Schwachstelle erlaubt mittels SQL-Injektion über das webbasierte PostfixAdmin-Interface beliebige Manipulationen der Datenbank. Patch: Debian Security Advisory DSA-2889 http://www.debian.org/security/2014/dsa-2889

Patch:

openSUSE Security Update: openSUSE-SU-2014:0715-1

http://lists.opensuse.org/opensuse-updates/2014-05/msg00075.html

CVE-2014-2655: Eine Schwachstelle in PostfixAdmin erlaubt SQL-Injektion

Eine SQL-Injektion-Schwachstelle wurde im Paket “postfixadmin” festgestellt,
einem webbasierten Administrationsinterface für den “Postfix Mail Transport
Agent”. Diese Schwachstelle erlaubt einem entfernten, angemeldeten Benutzer
als Angreifer, beliebige Manipulationen der Datenbank.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0383/

Debian Security Advisory DSA-2889:
http://www.debian.org/security/2014/dsa-2889

Schwachstelle CVE-2014-2655 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2655

openSUSE Security Update: openSUSE-SU-2014:0715-1:
http://lists.opensuse.org/opensuse-updates/2014-05/msg00075.html