Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 5 (28.02.2017):
Die über die Sicherheitsupdates FEDORA-2017-8b0737b093,
FEDORA-EPEL-2017-d5fe44714a, FEDORA-2017-a513be0939 und
FEDORA-EPEL-2017-148092c401 referenzierten Pakete wurden auf die Cacti
Version 1.0.4 aktualisiert und stehen im Status ‘testing’ zur Verfügung.
Version 4 (27.02.2017):
Für Fedora 24 steht jetzt ebenfalls ein Sicherheitsupdate auf die Cacti
Version 1.0.3 in Form eines ‘cacti-1.0.3-2’-Paketes im Status ‘testing’
bereit.
Version 3 (23.02.2017):
Es stehen nun Sicherheitsupdates auf die Cacti Version 1.0.3 in Form von
‘cacti-1.0.3-2’-Paketen für Fedora 25 und Fedora EPEL 6 sowie einem
‘cacti-1.0.3-3’-Paket für Fedora EPEL 7 im Status ‘testing’ zur Verfügung.
Fedora hat die Meldung FEDORA-EPEL-2017-148092c401 (Fedora EPEL 6) neu
veröffentlicht und die Meldungen FEDORA-EPEL-2017-d5fe44714a und
FEDORA-2017-8b0737b093 entsprechend aktualisiert.
Version 2 (20.02.2017):
Für Fedora 25 sowie Fedora EPEL 6 und 7 stehen nun Sicherheitsupdates auf
die Cacti Version 1.0.3 in Form von ‘cacti-1.0.3-2’-Paketen im Status
‘testing’ zur Verfügung. Fedora hat die Meldung
FEDORA-EPEL-2017-148092c401 (Fedora EPEL 6) neu veröffentlicht und die
Meldungen FEDORA-EPEL-2017-d5fe44714a und FEDORA-2017-8b0737b093
entsprechend aktualisiert.
Version 1 (14.02.2017):
Neues Advisory
Betroffene Software:
Cacti < 1.0.3 Betroffene Plattformen: Red Hat Fedora 24 Red Hat Fedora 25 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in Cacti ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung nicht näher spezifizierter Angriffe sowie das Erlangen von Benutzerrechten. Diese Schwachstellen und zahlreiche Bugs wurden in der Cacti Version 1.0.0 behoben. Für Fedora 25 und Fedora EPEL 7 steht Cacti nun in der Version 1.0.2 als Sicherheitsupdates im Status 'testing' bereit. Patch: Fedora Security Update FEDORA-2017-8b0737b093 (Fedora 25, cacti-1.0.4-1.fc25) https://bodhi.fedoraproject.org/updates/FEDORA-2017-8b0737b093
Patch:
Fedora Security Update FEDORA-EPEL-2017-d5fe44714a (Fedora EPEL 7,
cacti-1.0.4-1.el7)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-d5fe44714a
Patch:
Fedora Security Update FEDORA-EPEL-2017-148092c401 (Fedora EPEL 6,
cacti-1.0.4-1.el6)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-148092c401
Patch:
Fedora Security Update FEDORA-2017-a513be0939 (Fedora 24,
cacti-1.0.4-1.fc24)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a513be0939
CVE-2014-4000: Schwachstellen in Cacti ermöglichen nicht spezifizierte
Angriffe
In Cacti vor Version 1.0.0 existieren mehrere nicht näher beschriebene
Schwachstellen, die das Injizieren von PHP-Objekten ermöglichen, wodurch
weitere Angriffe möglich werden. Ein entfernter, nicht authentisierter
Angreifer kann nicht spezifizierte Angriffe durchführen.
CVE-2016-2313: Schwachstelle in Cacti ermöglicht Erlangen von
Benutzerrechten
Der Zugriff auf Cacti mit einem Benutzernamen, der nicht in der Datenbank
enthalten ist, ist uneingeschränkt möglich. Ein entfernter, nicht
authentifizierter Angreifer kann auf alle Webseiten von Cacti zugreifen, das
inkludiert auch die Benutzer-Administrationsseiten.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0259/
Schwachstelle CVE-2016-2313 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2313
Fedora Security Update FEDORA-2017-8b0737b093 (Fedora 25, cacti-1.0.4-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-8b0737b093
Fedora Security Update FEDORA-EPEL-2017-d5fe44714a (Fedora EPEL 7,
cacti-1.0.4-1.el7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-d5fe44714a
Schwachstelle CVE-2014-4000 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4000
Fedora Security Update FEDORA-EPEL-2017-148092c401 (Fedora EPEL 6,
cacti-1.0.4-1.el6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-148092c401
Fedora Security Update FEDORA-2017-a513be0939 (Fedora 24, cacti-1.0.4-1.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a513be0939
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
