Hinweise zur Installation des Security-Updates
[ul]
[li] Das Einspielen von Security-Updates ist im aktuellen Handbuch (2.1) im
Abschnitt 10.2 dokumentiert.[/li]
[li] Das Security-Update sollte mit dem folgenden Befehl aus dem Repository
heraus auf den UCS-Systemen installiert werden:
univention-actualise --dist-upgrade
Im Kern entspricht das Vorgehen einem apt-get dist-upgrade. Die zusätzlichen
Optionen stellen sicher, dass die Pakete mit den von Univention getesteten
Vorgaben installiert werden.
Dieses Update ist das letzte Sicherheits-Update für UCS 2.1, da die Maintenance für UCS 2.1 nach sechs Monaten ausgelaufen ist. Wir empfehlen ein Update auf UCS 2.2.
Die betroffenen Pakete in der Übersicht
Firefox (CVE-2009-1194, CVE-2009-2462, CVE-2009-2463, CVE-2009-2464, CVE-2009-2465,
CVE-2009-2466, CVE-2009-2467, CVE-2009-2469, CVE-2009-2471, CVE-2009-2472, CVE-2009-1194, CVE-2009-2462, CVE-2009-2463, CVE-2009-2464, CVE-2009-2465, CVE-2009-2466, CVE-2009-2467, CVE-2009-2469, CVE-2009-2471, CVE-2009-2472, CVE-2009-2654, CVE-2009-2404, CVE-2009-2408, CVE-2009-3079, CVE-2009-3078, CVE-2009-3077, CVE-2009-3076, CVE-2009-3075,
CVE-2009-3074, CVE-2009-3072, CVE-2009-3071, CVE-2009-3070)
Firefox wurde auf Version 3.0.14 aktualisiert, was die folgenden Sicherheitslücken
beseitigt:
[list]
[*] In der integrierten Pango-Kopie wurde ein Integeroverflow entdeckt, der zum Ausführen von Schadcode führen kann (CVE-2009-1194)[/li]
[li] Crashes in der Layout- und Javascript-Engine können zum Ausführen von Schadcode führen (CVE-2009-2462, CVE-2009-2463, CVE-2009-2464, CVE-2009-2465, CVE-2009-2466)[/li]
[li] Ein Fehler in der Interaktion mit Flash-Inhalten kann zum Ausführen von Schadcode führen (CVE-2009-2467)[/li]
[li] Ein Crash in der SVG-Anzeige kann zum Ausführen von Schadcode führen (CVE-2009-2469)[/li]
[li] Der XPCNativeWrapper konnte ausgehebelt werden (CVE-2009-2471)[/li]
[li] Domänen-Zugriffsprüfungen für Javascript konnten umgangen werden (CVE-2009-2472)[/li]
[li] In der integrierten Pango-Kopie wurde ein Integeroverflow entdeckt, der zum Ausführen von Schadcode führen kann (CVE-2009-1194)[/li]
[li] Crashes in der Layout- und Javascript-Engine können zum Ausführen von Schadcode führen (CVE-2009-2462, CVE-2009-2463, CVE-2009-2464, CVE-2009-2465, CVE-2009-2466)[/li]
[li] Ein Fehler in der Interaktion mit Flash-Inhalten kann zum Ausführen von Schadcode führen (CVE-2009-2467)[/li]
[li] Ein Crash in der SVG-Anzeige kann zum Ausführen von Schadcode führen (CVE-2009-2469)[/li]
[li] Der XPCNativeWrapper konnte ausgehebelt werden (CVE-2009-2471)[/li]
[li] Domänen-Zugriffsprüfungen für Javascript-Code konnten umgangen werden (CVE-2009-2472)[/li]
[li] Unsichere Behandlung von neuen Fenstern erlaubt Spoofing-Attacken (CVE-2009-2654)[/li]
[li] Ein Heapoverflow im Parser für Zertifikatsnamen erlaubt das Ausführen von Schadcode (CVE-2009-2404)[/li]
[li] Nullzeichen in SSL-Zertifikaten können für Man in the Middle-Attacken missbraucht werden (CVE-2009-2408)[/li]
[li] Ein Fehler im BrowserFeedWriter-Modul erlaubt das Ausführen
Javascript-Code mit Benutzer-Rechten (CVE-2009-3079)[/li]
[li] Unicode-Zeichen in der URl-Eingabezeile erlauben Spoofing-Angriffe (CVE-2009-3078)[/li]
[li] Unsichere Pointer-Behandlung in der Verarbeitung von XUL-Elementen kann zum
Ausführen von Schadcode führen (CVE-2009-3077)[/li]
[li] Einige Bildschirmdialoge im Crypto-Handling waren nicht ausführlich genug,
was zu Social Engineering-Attacken führen kann (CVE-2009-3076)[/li]
[li] Crashes in der Javascript- und Layout-Engine können zum Ausführen von
Schadcode führen (CVE-2009-3075, CVE-2009-3074, CVE-2009-3072, CVE-2009-3071,
CVE-2009-3070)[/li][/ul]
Linux-Kernel (CVE-2009-2692, CVE-2009-2698)
Eine fehlerhafte Initialisierung in einem Makro des Socket-Codes des Linux-Kernels
kann von lokalen Benutzern ausgenutzt werden, um Root-Rechte zu erlangen. Für diese
Sicherheitslücke existieren öffentlich verfügbare Exploits.
Eine fehlerhafte Initialisierung im UDP-Socket-Code des Linux-Kernels kann von lokalen Benutzern ausgenutzt werden, um Root-Rechte zu erlangen. Für diese Sicherheitslücke existieren öffentlich verfügbare Exploits. Diese Lücke betrifft nur den 2.6.18 Kernel.
Dieses Update für die Kernel 2.6.18 und 2.6.24 behebt diese Sicherheitslücke.
Samba (CVE-2009-2813, CVE-2009-2906, CVE-2009-2948)
Mehrere Sicherheitslücken wurden in Samba gefunden:
[ul]
[li] Bei Benutzern, die in der /etc/passwd einen leeren Heimatverzeichniseintrag haben, wird die Dateisystemwurzel als
Heimatverzeichnisfreigabe verwendet (CVE-2009-2813). Normale Benutzerkonten in Univention Corporate Server sind davon nicht betroffen.
[/li]
[li] Falls \ucsCommand{mount.cifs} mit setuid-root-Rechten installiert ist, kann ein Benutzer einen Pfad zu einer Credential- oder Passwortdatei angeben, für den er oder sie keine Zugriffsrechte hat, und dann die --verbose Option verwenden, um sich die erste Zeile der Datei anzuschauen. Dies betrifft alle Samba Releases (CVE-2009-2948).
[/li]
[li] Spezielle SMB-Anfragen in authentifizierten-SMB Verbindungen können den smbd in einen Zustand bringen, in er die CPU vollständig auslastet, was einen Denial of Service des Samba Servers zur Folge hat (CVE-2009-2906).[/li][/ul]
Dieses Update beseitigt alle diese Sicherheitslücken. Die Sicherheitslücken CVE-2009-1886 und CVE-2009-1888, die für UCS 2.2 korrigiert wurden, betreffen die Samba-Version aus UCS 2.1 nicht.
Xine-Lib (CVE-2008-0073, CVE-2008-0225, CVE-2008-0486, CVE-2008-1161, CVE-2008-1482, CVE-2008-1686, CVE-2008-1878, CVE-2008-5233, CVE-2008-5234, CVE-2008-5238, CVE-2008-5241, CVE-2008-5246, CVE-2009-0698)
In der Multimedia-Bibliothek Xine wurden mehrere Sicherheitslücken gefunden, die zum Ausführen von Schadcode führen können:
[ul]
[li] Ein Fehler in der Berechnung von Array-Dimensionen im Einlesen von SDP-Dateien aus RTSP-Streams (CVE-2008-0073)[/li]
[li] Mehrere Bufferoverflows in der Verarbeitung von RTSP-Streams (CVE-2008-0225)[/li]
[li] Ein Bufferoverflow in der Verarbeitung von FLAC-Audio-Dateien (CVE-2008-0486)[/li]
[li] Ein Bufferoverflow in der Verarbeitung von Matroska-Containern (CVE-2008-1161)[/li]
[li] Mehrere Integeroverflows in der Verarbeitung von Quicktime, Real, WC3, Matroska- und FILM-Dateien (CVE-2008-1482)[/li]
[li] Unsichere Behandlung eines Funktions-Pointers erlaubt das Ausführen von Schadcode (CVE-2008-1686)[/li]
[li] Ein Bufferoverflow in der Verarbeitung von NSF-Dateien (CVE-2008-1878)[/li]
[li] Speicher-Allokations-Fehler werden nicht korrekt behandelt, was potentiell zum Ausführen von Schadcode führen kann. (CVE-2008-5233)[/li]
[li] Mehrere Bufferoverflows im Quicktime-Demuxer (CVE-2008-5234)[/li]
[li] Mehrere Integeroverflows in verschiedenen Demuxern (CVE-2008-5238)[/li]
[li] Integerunderflow im QT-Demuxer (CVE-2008-5241)[/li]
[li] Bufferoverflows im ID3-Tag-Parser (CVE-2008-5246)[/li]
[li] Bufferoverflow im 4XM-Demuxer (CVE-2009-0698)[/li][/ul][/*:m][/list:u]
Dieses Update beseitigt alle diese Sicherheitslücken.