2019-0901: Pallets Jinja: Mehrere Schwachstellen ermöglichen u. a. einen Server-Side-Template-Injection-Angriff

Historie:

Version 1 (2019-05-07 16:54)

Neues Advisory

Version 2 (2019-05-14 12:15)

openSUSE veröffentlicht für openSUSE Leap 15.0 ein Sicherheitsupdate auf die 'python-Jinja2' Version 2.10.1, um die hier aufgeführten Schwachstellen zu beheben.

Version 3 (2019-06-19 13:21)

Für SUSE OpenStack Cloud 7, SUSE Manager Server und Proxy jeweils in Version 3.1 und 3.2, SUSE Enterprise Storage 4 und 5, SUSE Container-as-a-Service (CaaS) Platform ALL und 3.0 sowie OpenStack Cloud Magnum Orchestration 7 stehen Sicherheitsupdates für 'python-Jinja2' bereit, um diese Schwachstellen zu beheben.

Version 4 (2019-06-25 11:48)

Zur Behebung der Schwachstellen stellt SUSE ein Sicherheitsupdate für 'python-Jinja2' für openSUSE Leap 42.3 bereit.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Netzwerk
Cloud
Linux

Beschreibung:

Eine Schwachstelle ermöglicht einem entfernten, nicht authentisierten Angreifer die Durchführung eines Server-Side-Template-Injection (SSTI)-Angriffs und dadurch das Ausspähen von Informationen, die Manipulation von Dateien und die Durchführung eines Denial-of-Service (DoS)-Angriffs. Zwei weitere Schwachstellen ermöglichen einem lokalen, einfach authentisierten Angreifer das Ausbrechen aus einer geschützten Umgebung (Sandbox).

Für SUSE Linux Enterprise Module for Open Buildservice Development Tools 15 und SUSE Linux Enterprise Module for Basesystem 15 stehen Sicherheitsupdates für das Paket 'python-Jinja2' bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2016-10745

Schwachstelle in Pallets Jinja ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2019-10906

Schwachstelle in Pallets Jinja ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2019-8341

Schwachstelle in Pallets Jinja ermöglicht Server-Side-Template-Injection-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.