Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (03.02.2017):
Für SUSE Linux Enterprise Software Development Kit, Server und Debuginfo
11 SP4 stehen Sicherheitsupdates für libcap-ng bereit, welches von
seunshare in policycoreutils verwendet wird.
Version 1 (30.05.2014):
Neues Advisory
Betroffene Software:
policycoreutils 2.2.5
Betroffene Plattformen:
SUSE Linux Enterprise Debuginfo 11 SP4
SUSE Linux Enterprise Software Development Kit 11 SP4
openSUSE 12.3
openSUSE 13.1
SUSE Linux Enterprise Server 11 SP4
Die Schwachstelle ermöglicht es einem lokalen, nicht authentifizierten
Benutzer als Angreifer seine Privilegien zu erweitern.
Für openSUSE 13.1 und openSUSE 12.3 stehen Sicherheitsupdates für
policycoreutils zur Verfügung, um diese Schwachstelle zu beheben.
Patch:
openSUSE Security Update: openSUSE-SU-2014:0736-1
http://lists.opensuse.org/opensuse-updates/2014-05/msg00084.html
Patch:
SUSE Security Update SUSE-SU-2017:0375-1
http://lists.suse.com/pipermail/sle-security-updates/2017-February/002617.html
CVE-2014-3215: Privilegieneskalation in policycoreutils
seunshare in policycoreutils 2.2.5 gehört dem Root-Benutzer mit
4755-Berechtigung und führt Programme in einer Art aus, welche die
Beziehungen zwischen einem “setuid”-Systemaufruf und dem “getresuid saved
set-user-ID”-Wert ändert. Die Schwachstelle ermöglicht es einem lokalen,
nicht authentifizierten Benutzer, als Angreifer, seine Privilegien zu
erweitern.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0680/
Schwachstelle CVE-2014-3215 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3215
openSUSE Security Update: openSUSE-SU-2014:0736-1:
http://lists.opensuse.org/opensuse-updates/2014-05/msg00084.html
SUSE Security Update SUSE-SU-2017:0375-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-February/002617.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
