Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (01.10.2014):
Für die Distributionen Fedora 19, Fedora 20 und Fedora 21 stehen weitere
Sicherheitsupdates bereit. Für Fedora EPEL 6 und EPEL 7 wurden die
Sicherheitsupdates FEDORA-EPEL-2014-2718 und FEDORA-EPEL-2014-2724 durch
neue Updates ersetzt.
Version 5 (24.09.2014):
Für Fedora EPEL 5, EPEL 6 und EPEL 7 stehen Sicherheitsupdates zur
Verfügung.
Version 4 (21.09.2014):
Für die Distribution Fedora 21 steht ein Sicherheitsupdate zur Verfügung.
Version 3 (19.09.2014):
Für Fedora 19 und Fedora 20 wurden Sicherheitsupdates erstellt.
Version 2 (04.09.2014):
Korrektur: Es handelt sich nicht wie ursprünglich angegeben um den
Check_MK Agent, sondern um die Check_MK Anwendung, die die Schwachstellen
aufweist.
Version 1 (03.09.2014):
Neues Advisory
Betroffene Software:
Check_MK <= 1.2.4p3 Check_MK <= 1.2.5i3 Betroffene Plattformen: GNU/Linux Red Hat Fedora 19 Red Hat Fedora 20 Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 5 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Ein entfernter und in einem Fall auch nicht authentisierter Angreifer kann mehrere Schwachstellen dazu ausnutzen, um beliebigen Code zur Ausführung zu bringen und Cross-Site-Scripting-Angriffe durchzuführen. Patch: Check_MK Security Advisory Werk #0982 http://mathias-kettner.de/check_mk_werks.php?werk_id=0982
Patch:
Check_MK Security Advisory Werk #0983
http://mathias-kettner.de/check_mk_werks.php?werk_id=983
Patch:
Check_MK Security Advisory Werk #0984
http://mathias-kettner.de/check_mk_werks.php?werk_id=984
Patch:
Fedora Security Update FEDORA-2014-10972
https://admin.fedoraproject.org/updates/FEDORA-2014-10972/check-mk-1.2.4p5-1.fc20
Patch:
Fedora Security Update FEDORA-2014-11082
https://admin.fedoraproject.org/updates/FEDORA-2014-11082/check-mk-1.2.4p5-1.fc19
Patch:
Fedora Security Update FEDORA-2014-11160
https://admin.fedoraproject.org/updates/FEDORA-2014-11160/check-mk-1.2.4p5-1.fc21
Patch:
Fedora Security Update FEDORA-EPEL-2014-2669
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2669/check-mk-1.2.4p5-1.el5
Patch:
Fedora Security Update FEDORA-2014-11895
https://admin.fedoraproject.org/updates/FEDORA-2014-11895/check-mk-1.2.4p5-2.fc20
Patch:
Fedora Security Update FEDORA-2014-11896
https://admin.fedoraproject.org/updates/FEDORA-2014-11896/check-mk-1.2.4p5-2.fc21
Patch:
Fedora Security Update FEDORA-2014-11929
https://admin.fedoraproject.org/updates/FEDORA-2014-11929/check-mk-1.2.4p5-2.fc19
Patch:
Fedora Security Update FEDORA-EPEL-2014-2981
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2981/check-mk-1.2.4p5-2.el6
Patch:
Fedora Security Update FEDORA-EPEL-2014-2992
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2992/check-mk-1.2.4p5-2.el7
CVE-2014-5340: Schwachstelle ermöglicht die Ausführung von beliebigen
Programmcode
Es besteht eine Schwachstelle in der WATO-Komponente von Check_MK, die
unsichere Systemaufrufe des Phython-Moduls pickle zulässt. Ein entfernter,
nicht authentisierter Angreifer kann, durch Eingabe einer handgefertigten
URL, die Schwachstelle dazu ausnutzen, beliebigen Programmcode über ein
speziell präpariertes serialisiertes Objekt zur Ausführung zu bringen.
Das empfohlene Sicherheitsupdate ist nicht abwärtskompatibel.
CVE-2014-5339: Schwachstelle ermöglicht die Erstellung beliebiger
MK-Konfigurationsdateien
Die Check_MK Anwendung enthält eine Schwachstelle, die Schreibberechtigungen
fehlerhaft überprüft. Ein entfernter, einfach authentisierter Angreifer kann
die Schwachstelle ausnutzen und beliebige MK-Konfigurationsdateien im
Dateisystem anlegen.
CVE-2014-5338: Schwachstelle ermöglicht Cross-Site-Scripting
Check_MK enthält mehrere Cross-Site-Scripting Schwachstellen, die auf
fehlerhafte Implementierungen der “render_status_icons”-Funktion in
“htmllib.py” bzw. der “ajax_action” Funktion in “actions.py” zurückzuführen
sind. Ein entfernter und einfach authentisierter Angreifer kann durch einen
reflektierten Cross-Site-Scripting-Angriff die Schwachstelle ausnutzen und
Zugriff auf Check_MK mit den Rechten des Anwenders erlangen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1144/
Schwachstelle CVE-2014-5338 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5338
Check_MK Security Advisory Werk #0982:
http://mathias-kettner.de/check_mk_werks.php?werk_id=0982
Check_MK Security Advisory Werk #0983:
http://mathias-kettner.de/check_mk_werks.php?werk_id=983
Check_MK Security Advisory Werk #0984:
http://mathias-kettner.de/check_mk_werks.php?werk_id=984
Schwachstelle CVE-2014-5339 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5339
Schwachstelle CVE-2014-5340 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5340
Fedora Security Update FEDORA-2014-10972:
https://admin.fedoraproject.org/updates/FEDORA-2014-10972/check-mk-1.2.4p5-1.fc20
Fedora Security Update FEDORA-2014-11082:
https://admin.fedoraproject.org/updates/FEDORA-2014-11082/check-mk-1.2.4p5-1.fc19
Fedora Security Update FEDORA-2014-11160:
https://admin.fedoraproject.org/updates/FEDORA-2014-11160/check-mk-1.2.4p5-1.fc21
Fedora Security Update FEDORA-EPEL-2014-2669:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2669/check-mk-1.2.4p5-1.el5
Fedora Security Update FEDORA-2014-11895:
https://admin.fedoraproject.org/updates/FEDORA-2014-11895/check-mk-1.2.4p5-2.fc20
Fedora Security Update FEDORA-2014-11896:
https://admin.fedoraproject.org/updates/FEDORA-2014-11896/check-mk-1.2.4p5-2.fc21
Fedora Security Update FEDORA-2014-11929:
https://admin.fedoraproject.org/updates/FEDORA-2014-11929/check-mk-1.2.4p5-2.fc19
Fedora Security Update FEDORA-EPEL-2014-2981:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2981/check-mk-1.2.4p5-2.el6
Fedora Security Update FEDORA-EPEL-2014-2992:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2992/check-mk-1.2.4p5-2.el7
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
