Hinweise zur Installation des Security-Updates:
[ul]
[li] Das Einspielen von Security-Updates ist im aktuellen Handbuch (Version 1.3) im Abschnitt 9.2 - UCS Security Updates dokumentiert.
[/li]
[li] Das Security-Update sollte mit dem folgenden Befehl auf den UCS Systemen installiert werden.
univention-actualise --dist-upgrade Im Kern entspricht das Vorgehen einem apt-get dist-upgrade. Die zusätzlichen Optionen stellen sicher, dass die Pakete mit den von Univention getesteten Vorgaben installiert werden. [/li][/ul]
Die betroffenen Pakete in der Übersicht:
[ul]
[li] Acrobat Reader(CVE-2008-0726,CVE-2008-0667, CVE-2007-5663, CVE-2007-5659, CVE-2007-5666. CVE-2008-0883, CVE-2008-0655)
Acrobat Reader wurde auf Version 8.1.2 aktualisiert. Dies behebt zahlreiche Sicherheitslücken:
[list]
[*] Ein Integeroverflow ermöglicht das Ausführen von Code (CVE-2008-0726)[/li]
[li] Dokumente können ohne Nutzerinteraktion von Webseiten heraus ausgedruckt werden (CVE-2008-0667)
Eingebettetes JavaScript wird unsicher behandelt (CVE-2007-5663)[/li]
[li] Mehrere Bufferoverflows wurden entdeckt (CVE-2007-5659)[/li]
[li] Der Ladepfad für Bibliotheken wurde unsicher gehandhabt (CVE-2007-5666)[/li]
[li] Das Wrapper-Script erzeugte temporäre Dateien unsicher (CVE-2008-0883)[/li]
[li] Weitere Sicherheitslücken (CVE-2008-0655)[/li][/ul]
In UCS 1.3 wurde Acrobat Reader 7.0 mitgeliefert. Da Acrobat Reader nicht im
Quelltext vorliegt, können keine isolierten Sicherheitsupdates bereitgestellt
werden. Wenn der Versionssprung aus technischen Gründen nicht umgesetzt werden
kann, besteht die Möglichkeit weiterhin die alte Version ohne
Sicherheitsupdates zu verwenden.
echo acroread hold | dpkg --set-selections
[/*:m]
[li] Firefox (CVE-2007-4879, CVE-2008-0412, CVE-2008-0413, CVE-2008-0414, CVE-2008-0415,
CVE-2008-0417, CVE-2008-0418, CVE-2008-0419, CVE-2008-0591, CVE-2008-0592,
CVE-2008-0593, CVE-2008-0594, CVE-2008-1233, CVE-2008-1234, CVE-2008-1235,
CVE-2008-1236, CVE-2008-1237, CVE-2008-1238, CVE-2008-1240, CVE-2008-1241, CVE-2008-1380)
Firefox wurde auf Version 2.0.0.14 aktualisiert und behebt zahlreiche
Sicherheitslücken:
[ul]
[] Crashes in der Layout-Engine erlauben potentiell das Ausführen von Code (CVE-2008-0412)[/li]
[li] Crashes in der Javascript-Engine erlauben potentiell das Ausführen von Code (CVE-2008-0413)[/li]
[li] Durch Umlenken des Focus in File-Upload-Dialogen kann eine Webseite
lokale Dateien auslesen (CVE-2008-0414)[/li]
[li] Mehrere Fehler in der Javascript-Engine erlauben das Ausweiten von
Rechten (CVE-2008-0415)[/li]
[li] Der Mechanismus zum Speichern von Passwörtern kann durch eine
manipulierte Rückgabe einer Web-Seite andere gespeicherte Passwörter beschädigen (CVE-2008-0417)[/li]
[li] Eine Directory-Traversal-Lücke im Auslesen von Chrome-Dateien kann
Informationen über das System herausgeben (CVE-2008-0418)[/li]
[li] Eine Race-Condition in der Behandlung von Bildern in Design-Mode-Frames
kann zu Information Disclosure führen (CVE-2008-0419)[/li]
[li] Timer, die wichtige Dialoge vor Focus-Änderungen schützen sollen, können
umgangen werden (CVE-2008-0591)[/li]
[li] Durch manipulierte Deklarationen von Content-Types kann ein Benutzer
daran gehindert werden weitere Dateien mit \emph{.txt}-Änderung abzuspeichern (CVE-2008-0592)[/li]
[li] Unsichere Behandlung von CSS erlaubt Information Disclosure (CVE-2008-0593)[/li]
[li] Der Phishing-Schutz konnte umgangen werden (CVE-2008-0594)[/li]
[li] Das Surfverhalten von Benutzern kann durch SSL-Zertifikate verfolgt werden (CVE-2007-4879)[/li]
[li] Ein Fehler in XPCNativeWrapper erlaubt das Ausführen von Code (CVE-2008-1233)[/li]
[li] Ein Fehler im Eventhandler ermöglicht Cross-Site-Scripting (CVE-2008-1234)[/li]
[li] Cross-Site-Scripting und Ausführen von Code durch unsicheres
Principal-Handling (CVE-2008-1235)[/li]
[li] Crashes in der Layout-Engine können zum Ausführen von Code führen (CVE-2008-1236)[/li]
[li] Crashes in der Javascript-Engine können zum Ausführen von Code führen (CVE-2008-1237)[/li]
[li] HTTP-Referrer können für Cross-Site Request Forgery missbraucht werden (CVE-2008-1238)[/li]
[li] Durch Jar-Archive kann Java sich auf beliebige Ports connecten (CVE-2008-1240)[/li]
[li] Xul-Popups erlauben Spoofing-Attacken (CVE-2008-1241)[/li]
[li] Crashes in der Javascript-Engine erlauben potentiell das Ausführen von Code (CVE-2008-1380)[/li][/ul]
[/:m]
[li]Flash-Plugin (CVE-2007-5275, CVE-2007-6242, CVE-2007-6243, CVE-2007-6244, CVE-2007-6245,
CVE-2007-6246, CVE-2007-6637, CVE-2008-1654)
Der Installer für das Flash-Plugin wurde auf Version 9.0.124.0
aktualisiert. Dieses behebt zahlreiche Sicherheitslücken:
[ul]
[*] Flash ist anfällig gegen DNS-Rebinding-Attacken (CVE-2007-5275)[/li]
[li] Unzureichende Eingabenbereinigung erlaubt das Ausführen von Code (CVE-2007-6242)[/li]
[li] Mehrere Cross-Site-Scripting-Lücken (CVE-2007-6243)[/li]
[li] Weitere Cross-Site-Scripting-Lücken (CVE-2007-6244)[/li]
[li] HTTP Request Splitting-Lücken (CVE-2007-6245)[/li]
[li] Unsichere Speicherbehandlung (CVE-2007-6246)[/li]
[li] Mehrere Cross-Site-Scripting-Lücken (CVE-2007-6637)[/li]
[li] Unsicherer Umgang mit UPnP (CVE-2008-1654)[/li][/ul]
Das Tool update-flashplugin führt eine Aktualisierung durch.
[/*:m]
[li] Ghostscript (CVE-2008-0411)
Im PostScript-Interpreter Ghostscript wurde ein Bufferoverflow entdeckt, durch
den bei der Verarbeitung eines manipulierten Postscript- oder PDF-Dokuments
potentiell Code ausgeführt werden kann. Dieses Update beseitigt diese
Sicherheitslücke.
[/li]
[li] Horde (CVE-2007-6018, CVE-2008-1284)
Durch unsaubere Bereinigung von Eingaben in der Verarbeitung von Themes konnte
PHP-Code eingeschleust werden. Dieses Update beseitigt diese Sicherheitslücke.
[/li]
[li] mount / util-linux (CVE-2007-5191)
mount gibt setuid() und setgid()-Rechte in falscher Reihenfolge ab, was zu
Privilege Escalation führen kann. Ausserdem wird der Rückgabewert von setuid()
nicht geprüft, was in seltenen Umständen ebenfalls zu Privilege Escalation
führen kann.
Dieses Update beseitigt diese Sicherheitslücke.
[/li]
[li] OpenSSH (CVE-2008-1483)
Der SSH-Client wartet bei Verwendung von Portforwarding auf allen
Netz-Adress-Familien auf Anfragen. Bei Verwendung von IPv6 kann ein lokaler
Benutzer dadurch potentiell auf eine Verbindungsanforderung antworten.
Diese Sicherheitslücke wurde behoben.
[/li]
[li] Python(CVE-2007-2052, CVE-2007-4965, CVE-2008-1679, CVE-2008-1721,
CVE-2008-1887)}
Drei Sicherheitslücken wurden im Python-Interpreter gefunden. Integeroverflows
in den imageop- und zlib-Modulen und in der internen Funktion
PyString_FromStringAndSize() erlauben potentiell das Ausführen von Code.
Dieses Update beseitigt alle diese Sicherheitslücken in Python 2.3 und Python 2.4.
[/li]
[li] Tar (CVE-2007-4131, CVE-2007-4476)
Zwei Sicherheitslücken wurden in GNU Tar entdeckt:
Manipulierte Tar-Archive konnten Zielpfade angeben, die ausserhalb des
aktuellen Verzeichnis-Pfades liegen und so potentiell Dateien überschreiben
und ein Bufferoverflow in der Verarbeitung von Dateinamen konnten zum
Ausführen von Code führen. Diese Sicherheitslücken wurden beseitigt.
[/li]
[li] Turba (CVE-2008-0807)
Die Kontakt-Verwaltung des Horde-Frameworks führte unzureichende Prüfungen von
Zugriffsrechten durch, wodurch Benutzer mit Zugriff auf ein gemeinsames
Adressbuch auch in das Adressbuch eines privaten Benutzers schreiben konnten.
Diese Sicherheitslücke wurde beseitig.
[/li]
[li] Univention Windows Installer
Einige Dateien der Univention Windows Installer-Umgebung waren für
nicht-privilegierte Benutzer schreibbar, wodurch potentiell in
Windows-Installationen eingegriffen werden konnte. Dieser Fehler wurde
korrigiert.
[/li]
[li] Unzip (CVE-2008-0888)
In Unzip, einem Dekompressionsprogramm für ZIP-Archive, wurde eine
Sicherheitslücke entdeckt, durch die potentiell Code durch manipulierte
ZIP-Archive ausgeführt werden kann. Dieses Update beseitigt diese
Sicherheitslücke.[/li][/list:u]