Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (26.05.2015):
Fedora stellt für die Distributionen Fedora 20, 21 und 22
Sicherheitsupdates zur Verfügung. Die Schwachstelle CVE-2015-3983 wurde
zusätzlich aufgenommen.
Version 1 (13.05.2015):
Neues Advisory
Betroffene Software:
Enterprise Linux High Availability 6
Enterprise Linux High Availability 7
Enterprise Linux High Availability EUS 6.6.z
Enterprise Linux Resilient Storage 6
Enterprise Linux Resilient Storage 7
Enterprise Linux Resilient Storage EUS 6.6.z
Red Hat Fedora 20
Red Hat Fedora 21
Red Hat Fedora 22
Betroffene Plattformen:
Red Hat Enterprise Linux 6
Red Hat Enterprise Linux 7
Red Hat Fedora
Zwei Schwachstellen im Pacemaker/Corosync Configuration System (pcs)
ermöglichten einem entfernten, nicht authentifizierten Angreifer, Cookies zu
fälschen, dadurch Zugriffskontrollen zu umgehen und somit möglicherweise
erhöhte Privilegien in der Web-Oberfläche des pcsd zu erhalten oder
Informationen auszulesen.
Red Hat stellt für Red Hat Enterprise Linux 6 und 7 für die Produktvarianten
‘High Availability’ und ‘Resilient Storage’ Sicherheitsupdates bereit.
Patch:
Red Hat Security Advisory RHSA-2015:0980
http://rhn.redhat.com/errata/RHSA-2015-0980.html
Patch:
Red Hat Security Advisory RHSA-2015:0990
http://rhn.redhat.com/errata/RHSA-2015-0990.html
Patch:
Fedora Security Update FEDORA-2015-8761
https://admin.fedoraproject.org/updates/FEDORA-2015-8761/pcs-0.9.115-3.fc20
Patch:
Fedora Security Update FEDORA-2015-8765
https://admin.fedoraproject.org/updates/FEDORA-2015-8765/pcs-0.9.139-4.fc22
Patch:
Fedora Security Update FEDORA-2015-8788
https://admin.fedoraproject.org/updates/FEDORA-2015-8788/pcs-0.9.137-4.fc21
CVE-2015-3983: Schwachstelle in Pacemaker/Corosync Configuration System
(pcs) ermöglicht das Umgehen von Sicherheitsvorkehrungen
Die Set-Cookie Kopfzeilen in den pcs-Daemon Versionen bis 0.9.137 setzen das
“HTTPOnly” Flag nicht. Dadurch ist es leichter, durch Script-Zugriffe zu
einem Cookie, sensitive Informationen auszulesen. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
Sicherheitsmaßnahmen zu umgehen und Informationen auszulesen.
CVE-2015-1848: Schwachstelle in Pacemaker/Corosync Configuration System
(pcs) ermöglicht das Umgehen von Sicherheitsvorkehrungen
Der pcs-Daemon signiert die Cookies, die Sitzungsdaten enthalten und an
Clients der Web-Oberfläche des pcsd gesendet werden, nicht. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
Cookies zu fälschen, dadurch Zugriffskontrollen zu umgehen und somit
möglicherweise erhöhte Privilegien in der Web-Oberfläche des pcsd zu
erhalten.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0688/
Red Hat Security Advisory RHSA-2015:0980:
http://rhn.redhat.com/errata/RHSA-2015-0980.html
Red Hat Security Advisory RHSA-2015:0990:
http://rhn.redhat.com/errata/RHSA-2015-0990.html
Schwachstelle CVE-2015-1848 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1848
Schwachstelle CVE-2015-3983 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3983
Fedora Security Update FEDORA-2015-8761:
https://admin.fedoraproject.org/updates/FEDORA-2015-8761/pcs-0.9.115-3.fc20
Fedora Security Update FEDORA-2015-8765:
https://admin.fedoraproject.org/updates/FEDORA-2015-8765/pcs-0.9.139-4.fc22
Fedora Security Update FEDORA-2015-8788:
https://admin.fedoraproject.org/updates/FEDORA-2015-8788/pcs-0.9.137-4.fc21
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
