Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (13.01.2016):
SUSE veröffentlicht für SUSE Linux Enterprise Server 12 und Server 12 SP1
sowie SUSE Linux Enterprise Desktop 12 und Desktop 12 SP1
Sicherheitsupdates.
Version 2 (07.12.2015):
Canonical stellt für Ubuntu 15.10, Ubuntu 15.04 und Ubuntu 14.04 LTS
verschiedene Backport-Sicherheitsupdates für CUPS-Filters und für Ubuntu
12.04 LTS ein Sicherheitsupdate für foomatic-filters zur Verfügung.
Version 1 (03.12.2015):
Neues Advisory
Betroffene Software:
CUPS-Filters
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 15.04
Canonical Ubuntu Linux 15.10
Debian Linux 8.2 Jessie
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Server 12
SUSE Linux Enterprise Server 12 SP1
Eine Schwachstelle in CUPS-Filters ermöglicht einem entfernten, nicht
authentifizierten Angreifer beliebige Kommandos auszuführen.
Diese Schwachstelle wurde in CUPS-Filters 1.2.0 behoben. Debian stellt für
die stabile Distribution Jessie (8.2) ein Backport-Sicherheitsupdate zur
Verfügung, um die Schwachstelle zu schließen. Die alte stabile Distribution
Wheezy (7.9) ist nicht davon betroffen.
Patch:
Debian Security Advisory DSA-3411-1
https://www.debian.org/security/2015/dsa-3411
Patch:
Ubuntu Security Notice USN-2831-1
http://www.ubuntu.com/usn/usn-2831-1/
Patch:
Ubuntu Security Notice USN-2831-2
http://www.ubuntu.com/usn/usn-2831-2/
Patch:
SUSE Security Update SUSE-SU-2016:0092-1
https://www.suse.com/support/update/announcement/2016/suse-su-20160092-1.html
CVE-2015-8327: Schwachstelle in CUPS-Filters und Foomatic-Filters ermöglicht
Ausführen beliebiger Kommandos
In CUPS-Filters im ‘foomatic-rip print’-Filter und in Foomatic-Filters
existiert eine Schwachstelle aufgrund einer fehlenden Bereinigung von
Eingaben; diese Filter berücksichtigen den ‘back’-Tick nicht als ein
illegales Shell-Escape-Zeichen. Hierdurch ist es möglich, beliebige
Kommandos zur Ausführung zu bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1863/
Schwachstelle CVE-2015-8327 (Red Hat):
https://access.redhat.com/security/cve/CVE-2015-8327
Schwachstelle CVE-2015-8327 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8327
Debian Security Advisory DSA-3411-1:
https://www.debian.org/security/2015/dsa-3411
Ubuntu Security Notice USN-2831-1:
http://www.ubuntu.com/usn/usn-2831-1/
Ubuntu Security Notice USN-2831-2:
http://www.ubuntu.com/usn/usn-2831-2/
SUSE Security Update SUSE-SU-2016:0092-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20160092-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
