2019-0763: Pallets Jinja: Zwei Schwachstellen ermöglichen das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2019-04-15 17:51): Neues Advisory
Version 2 (2019-05-16 19:09): Red Hat veröffentlicht für die Red Hat Software Collections 1 für Red Hat Enterprise Linux Server 6, 7, 7.4, 7.5 und 7.6 sowie Workstation 6 und 7 Sicherheitsupdates für 'rh-python35-python-jinja2', um die beiden referenzierten Schwachstellen zu beheben.
Version 3 (2019-06-06 17:57): Canonical veröffentlicht für Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 18.10 und Ubuntu 19.04 Sicherheitsupdates für 'jinja2' zur Behebung der aufgeführten Schwachstellen.
Version 4 (2019-06-06 19:22): Canonical stellt jetzt auch für Ubuntu 12.04 ESM und Ubuntu 14.04 ESM Sicherheitsupdates für 'jinja2' bereit, um die beiden Schwachstellen zu beheben.

Betroffene Software

Entwicklung
Middleware
Server
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Zwei Schwachstellen in Pallets Jinja ermöglichen einem lokalen, einfach authentisierten Angreifer das Ausbrechen aus einer geschützten Umgebung (Sandbox).

Für Fedora EPEL 6 und EPEL 7 stehen Sicherheitsupdates in Form der Pakete 'python3-jinja2-2.8.1-2.el6' und 'python3-jinja2-2.8.1-2.el7' im Status 'testing' bereit, um die Schwachstellen zu beheben. Der Patch für die Schwachstelle CVE-2019-10906 wurde von dem Versionszweig 2.10 auf 2.8 zurückportiert.

Schwachstellen:

CVE-2016-10745

Schwachstelle in Pallets Jinja ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2019-10906