Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (26.01.2016):
Für openSUSE 13.2 steht ein Sicherheitsupdate zur Verfügung.
Version 1 (21.01.2016):
Neues Advisory
Betroffene Software:
eCryptfs eCryptfs-utils
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 15.04
Canonical Ubuntu Linux 15.10
Debian Linux 7.9 Wheezy
Debian Linux 8.2 Jessie
openSUSE 13.2
Eine Schwachstelle erlaubt einem lokalen, authentisierten Angreifer mittels
der Funktion ‘mount.ecryptfs_private’ Programme mit Administratorrechten
auszuführen und somit eine Privilegieneskalation durchzuführen.
Canonical stellt Sicherheitsupdates für die Distributionen Ubuntu 15.10,
Ubuntu 15.04, Ubuntu 14.04 LTS und Ubuntu 12.04 LTS zur Verfügung, um diese
Schwachstelle zu beheben. Debian stellt für Jessie (stable) und Wheezy
(oldstable) Sicherheitsupdates bereit.
Patch:
Ubuntu Security Notice USN-2876-1
http://www.ubuntu.com/usn/usn-2876-1/
Patch:
Debian Security Advisory DSA-3450-1
https://www.debian.org/security/2016/dsa-3450
Patch:
openSUSE Security Update openSUSE-SU-2016:0239-1
http://lists.opensuse.org/opensuse-updates/2016-01/msg00091.html
CVE-2016-1572: Schwachstelle in eCryptfs Utils erlaubt Privilegieneskalation
In der Funktion ‘mount.ecryptfs_private’ in eCryptfs Utils existiert eine
Schwachstelle, da das Mounten über bestimmte Verzeichnisse im ‘proc’
Dateisystem stattfindet.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0112/
Ubuntu Security Notice USN-2876-1:
http://www.ubuntu.com/usn/usn-2876-1/
Schwachstelle CVE-2016-1572 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1572
Debian Security Advisory DSA-3450-1:
https://www.debian.org/security/2016/dsa-3450
openSUSE Security Update openSUSE-SU-2016:0239-1:
http://lists.opensuse.org/opensuse-updates/2016-01/msg00091.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
