UPDATE: DFN-CERT-2014-0664 Python mod-wsgi: Zwei Schwachstellen ermöglichen Privilegieneskalation und das Ausspähen von Information [Linux][Debian][Fedora][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 5 (12.06.2014):
Für openSUSE 12.3 und 13.1 stehen Sicherheitspatches zur Verfügung.
Version 4 (02.06.2014):
Für die Distributionen Fedora 19 und 20 stehen Sicherheitspatches zur
Verfügung.
Version 3 (31.05.2014):
Für Fedora EPEL 5 stehen Sicherheitspatches zur Verfügung.
Version 2 (28.05.2014):
Debian hat Sicherheitspatches für Squeeze, Wheezy und Jessie
veröffentlicht.
Version 1 (27.05.2014):
Neues Advisory

Betroffene Software:

Python mod-wsgi <= 3.4 Betroffene Plattformen: Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 13.10 Canonical Ubuntu Linux 14.04 Lts Debian Linux 6.0.9 Squeeze Debian Linux 7.5 Wheezy Debian Linux 8.0 Jessie openSUSE 12.3 openSUSE 13.1 Red Hat Fedora 19 Red Hat Fedora 20 Extra Packages for Red Hat Enterprise Linux 5 Ein Angreifer kann diese Schwachstellen ausnutzen, um entweder lokal Privilegien für das Ausführen von Programmcode auf dem Apache Webserver zu erlangen, oder um über das Netzwerk Informationen auszuspähen. Patch: Ubuntu Security Notice USN-2222-1 http://www.ubuntu.com/usn/usn-2222-1/

Patch:

Debian Security Advisory DSA-2937-1

https://www.debian.org/security/2014/dsa-2937

Patch:

Fedora Security Update FEDORA-EPEL-2014-1544

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-1544/python26-mod_wsgi-3.5-1.el5,mod_wsgi-3.5-1.el5

Patch:

Fedora Security Update FEDORA-2014-6938

https://admin.fedoraproject.org/updates/FEDORA-2014-6938/mod_wsgi-3.5-1.fc19

Patch:

Fedora Security Update FEDORA-2014-6944

https://admin.fedoraproject.org/updates/FEDORA-2014-6944/mod_wsgi-3.5-1.fc20

Patch:

openSUSE Security Update: openSUSE-SU-2014:0782-1

http://lists.opensuse.org/opensuse-updates/2014-06/msg00022.html

CVE-2014-0242: Use-after-free-Schwachstelle in mod_wsgi erlaubt Ausspähen
von Information

Eine Schwachstelle in mod_wsgi (Python WSGI-Adapter Modul für Apache)
besteht darin, dass Speicher weiterverwendet wird, der bereits freigegeben
wurde. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, um Prozessspeicher über den Content-Type Response
Header auszulesen. Diese Schwachstelle betrifft nur Ubuntu 12.04 LTS.

CVE-2014-0240: Schwachstelle in mod_wsgi erlaubt Privilegieneskalation

Eine Schwachstelle in mod_wsgi (Python WSGI-Adapter Modul für Apache)
besteht darin, dass zurückgegebene “setuid”- Werte nicht korrekt geprüft
werden. Ein lokaler Benutzer, als Angreifer, kann diese Schwachstelle
ausnutzen, um mittels speziell präparierter Programme mod_wsgi dazu zu
bringen, diese mit Administratorrechten ausführen zu lassen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0664/

Ubuntu Security Notice USN-2222-1:
http://www.ubuntu.com/usn/usn-2222-1/

Schwachstelle CVE-2014-0240 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0240

Schwachstelle CVE-2014-0242 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0242

Debian Security Advisory DSA-2937-1:
https://www.debian.org/security/2014/dsa-2937

Fedora Security Update FEDORA-EPEL-2014-1544:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-1544/python26-mod_wsgi-3.5-1.el5,mod_wsgi-3.5-1.el5

Fedora Security Update FEDORA-2014-6938:
https://admin.fedoraproject.org/updates/FEDORA-2014-6938/mod_wsgi-3.5-1.fc19

Fedora Security Update FEDORA-2014-6944:
https://admin.fedoraproject.org/updates/FEDORA-2014-6944/mod_wsgi-3.5-1.fc20

openSUSE Security Update: openSUSE-SU-2014:0782-1:
http://lists.opensuse.org/opensuse-updates/2014-06/msg00022.html