2017-0960: Puppet: Zwei Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2017-06-06 12:53)

Neues Advisory

Betroffene Software

Server
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Eine Schwachstelle in Puppet ermöglicht einem entfernten, einfach authentisierten Angreifer beliebigen Programmcode auf einem Puppet Server auszuführen. Ein lokaler, einfach authentifizierter Benutzer, als Angreifer, kann mittels einer weiteren Schwachstelle durch die Manipulation innerhalb von Verzeichnissen erreichen, dass beliebiger Programmcode mit den Rechten eines anderen Benutzers ausgeführt wird und somit auch dessen Privilegien übernehmen.

Canonical stellt ein Backport-Sicherheitsupdate für Ubuntu 14.04 LTS bereit, um beide Schwachstellen zu adressieren.

Schwachstellen:

CVE-2014-3248

LOAD_PATH enthält aktuelles Verzeichnis

CVE-2017-2295

Schwachstelle in Puppet Server ermöglicht Ausführung beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.