Hinweise zur Installation des Security-Updates
[ul]
[li] Das Einspielen von Security-Updates ist im aktuellen Handbuch (2.1) im
Abschnitt 10.2 dokumentiert.[/li]
[li] Das Security-Update sollte mit dem folgenden Befehl aus dem Repository
heraus auf den UCS-Systemen installiert werden:
univention-actualise --dist-upgrade
Im Kern entspricht das Vorgehen einem apt-get dist-upgrade. Die zusätzlichen
Optionen stellen sicher, dass die Pakete mit den von Univention getesteten
Vorgaben installiert werden.
Um das Flash-Plugin zu aktualisieren muss update-flashplugin aufgerufen werden. Da das Skript das Adobe-Archiv nicht erneut herunter lädt, wenn es schon lokal vorliegt, sollte die Datei
/var/cache/flashplugin-nonfree/install_flash_player_9*.tar.gz vor dem Update entfernt werden. Zusätzlich müssen Downloadserver und -pfad wie folgt angepasst werden:
univention-config-registry set flashplugin/downloadserver=http://download.macromedia.com/
univention-config-registry set flashplugin/downloadpath=pub/flashplayer/installers/current/9/install_flash_player_9.tar.gz[/li][/ul]
ClamAV (CVE-2008-5050, CVE-2008-5314, CVE-2008-6680, CVE-2009-1270, CVE-2009-1371)
Mehrere Sicherheitslücken wurden im Virenscanner ClamAV entdeckt:
[ul]
[li] In den Routinen zur Verarbeitung von VBA-Dateien wurde ein Off-by-One-Bufferoverflow gefunden (CVE-2008-5050).[/li]
[li] Die Rekursionstiefe in der Verarbeitung von JPEG-Vorschaubildern wird nicht limitiert, was zu Denial of Service führen kann (CVE-2008-5314).[/li]
[li] Manipulierte EXE-Dateien können zu Denial of Service führen, in dem eine Teilung durch Null in der Scan-Engine ausgelöst wird (CVE-2008-6680)[/li]
[li] Manipulierte Tar-Archive können zu Denial of Service führen, in dem eine Endlosschleife in der Scan-Engine ausgelöst wird (CVE-2009-1270)[/li]
[li] Manipulierte EXE-Dateien können zu Denial of Service führen, in dem eine Null-Pointer-Dereferenzierung in der Scan-Engine ausgelöst wird (CVE-2009-1371)[/li][/ul]
Dieses Update beseitigt diese Sicherheitslücken.
Die betroffenen Pakete in der Übersicht
Firefox (CVE-2009-0652, CVE-2009-1302, CVE-2009-1303, CVE-2009-1304,
CVE-2009-1305, CVE-2009-1306, CVE-2009-1307, CVE-2009-1308, CVE-2009-1309, CVE-2009-1310,
CVE-2009-1311, CVE-2009-1312)
Firefox wurde auf Version 3.0.10 aktualisiert, was die folgenden Sicherheitslücken beseitigt:
[ul]
[li] Einige Unicode-Zeichen können für Phishing-Angriffe in der URL-Leiste missbraucht werden. (CVE-2009-0652)
[/li]
[li] Mehrere Abstürze in der Layout-Engine können zum Ausführen von Schadcode führen. (CVE-2009-1302, CVE-2009-1303, CVE-2009-1304, CVE-2009-1305)
[/li]
[li] XBL-Bindings externer Stylesheets erlauben das Einschleusen von Skript-Code. (CVE-2009-1308)
[/li]
[li] Mehrere Sicherheitslücken erlauben das Umgehen der Same-Origin-Richtlinien, was zum Ausführen von Javascript-Code in einem fremden Vertrauenskontext führen kann. (CVE-2009-1306, CVE-2009-1307, CVE-2009-1309, CVE-2009-1310, CVE-2009-1312)
[/li]
[li] Beim erneuten Laden eines eingebetteten Frames werden einige HTTP-Daten erneut gesendet, was potentiell zum Stehlen privater Daten missbraucht werden kann. (CVE-2009-1311)[/li][/ul]
Flash-Plugin (CVE-2009-0520, CVE-2009-0521, CVE-2009-0519, CVE-2009-0114)
Das Flash-Plugin 9.0.159.0 behebt mehrere Sicherheitslücken:
[ul]
[li] Unsichere Speicherverwaltung (CVE-2009-0520).[/li]
[li] Unsichere Bibliothekspfade (CVE-2009-0521)[/li]
[li] Nicht weiter definierte Sicherheitslücke, die zum Ausführen von Schadcode führen kann (CVE-2009-0519)[/li]
[li] Ein Clickjacking-Angriff ist möglich (CVE-2009-0114).[/li][/ul]
Um das Flash-Plugin zu aktualisieren muss update-flashplugin aufgerufen werden. Da das Skript das Adobe-Archiv nicht erneut herunter lädt, wenn es schon lokal vorliegt, sollte die Datei /var/cache/flashplugin-nonfree/install_flash_player_9.tar.gz vor dem Update entfernt werden. Zusätzlich müssen Downloadserver und -pfad wie folgt angepasst werden:
univention-config-registry set flashplugin/downloadserver=http://download.macromedia.com/
univention-config-registry set flashplugin/downloadpath=pub/flashplayer/installers/current/9/install_flash_player_9.tar.gz
Linux-Kernel (CVE-2008-3527, CVE-2008-3528, CVE-2008-4307, CVE-2008-4554, CVE-2008-4576, CVE-2008-4933, CVE-2008-4934, CVE-2008-5025, CVE-2008-5029, CVE-2008-5079, CVE-2008-5182, CVE-2008-5300, CVE-2008-5702, CVE-2009-0028, CVE-2009-0031, CVE-2009-0065, CVE-2009-0322, CVE-2009-0675, CVE-2009-0676, CVE-2009-0834, CVE-2009-1265, CVE-2009-1336, CVE-2009-1337)
Mehrere Sicherheitslücken wurden im Linux-Kernel auf Basis von 2.6.18
gefunden, die zu Denial of Service oder zu Privilege Escalation führen können:
[ul]
[li] Die vDSO-Implementierung prüft einige Adressbereiche. Dies erlaubt Denial of
Service oder potentiell die Ausweitung von Systemrechten (CVE-2008-3527)[/li]
[li] Denial of Service beim Einbinden manipulierter ext2/ext3-Partitionen (CVE-2008-3528)[/li]
[li] Race Condition im NFS-File-Handling erlaubt Denial of Service (CVE-2008-4307)[/li]
[li] Der splice()-Aufruf ist nun bei Dateien, die mit der Option O_APPEND
geöffnet wurden nicht mehr gültig (CVE-2008-4554)[/li]
[li] Denial of Service im SCTP-Stack (CVE-2008-4576)[/li]
[li] Denial of Service durch manipulierte HFS-Partitionen (CVE-2008-4933)[/li]
[li] Denial of Service durch manipulierte HFS-Partitionen (CVE-2008-4934)[/li]
[li] Denial of Service durch manipulierte HFS-Partitionen (CVE-2008-5025)[/li]
[li] Denial of Service im Unix-Socket-Handling (CVE-2008-5029)[/li]
[li] Denial of Service im ATM-Socket-Handling (CVE-2008-5079)[/li]
[li] Eine Race Condition im inotify()-Syscall erlaubt das Ausweiten von Systemrechten (CVE-2008-5182)[/li]
[li] Denial of Service im Unix-Socket-Handling (CVE-2008-5300)[/li]
[li] Bufferoverflow im ib700wdt-Watchdog-Treiber (CVE-2008-5702)[/li]
[li] Ein Fehler im clone()-Systemaufruf kann benutzt werden, um Signale an geforkte Prozesse zu senden (CVE-2009-0028)[/li]
[li] Denial of Service durch Memory-Leak im Krypto-Key-Handling (CVE-2009-0031)[/li]
[li] Remote Denial of Service im SCTP-Stack (CVE-2009-0063)[/li]
[li] Denial of Service im Dell-Firmware-Loader (CVE-2009-0322)[/li]
[li] Unzureichende Berechtigungsprüfungen im skfddi-Treiber (CVE-2009-0675)[/li]
[li] Manipulierte getsockopt()-Aufrufe können Speicher korrumpieren (CVE-2009-0676)[/li]
[li] Audit-Regeln können umgangen werden, wenn 64-Bit-Prozesse 32-Bit-Systemaufrufe vornehmen (und umgekehrt) (CVE-2009-0834)[/li]
[li] Unzureichende Validierung von X25-Frames (CVE-2009-1265)[/li]
[li] Die Begrenzung für Dateinamen-Längen im NFS-Protokoll wurde nicht korrekt initialisiert (CVE-2009-1336)[/li]
[li] Die CAP_KILL-Berechtigung für Prozesse wurde unzureichend beschränkt (CVE-2009-1337)[/li][/ul]
Dieses Update beseitigt alle diese Sicherheitslücken.
NSS LDAP (Bugfix, keine CVE-ID)
Eine unzureichende Überprüfung des freien Speichers hat dazu geführt, dass bei der Auflösung von Gruppen in Gruppen über die libnss-ldap der aufrufende Prozess zum Absturz gebracht werden konnte.
Pango (CVE-2009-1194)
In der Pango-Bibliothek zur Darstellung von Schriften wurde ein Integeroverflow entdeckt, der zum Ausführen von Schadcode führen kann.
Dieses Update beseitigt diese Sicherheitslücke.