Aktualisierungen für 6.2

[thomas]

Hallo zusammen!

Aktualisierungen für Babo62 liegen bereit:

• samba 3.6.25-0ubuntu0.12.04.10+ta3
  Es wird ein memory leak gestopft, bei dem Informationen vom Server nach außen gelangen können.
  CVE-2017-15275

• isc-dhcp 4.1.ESV-R4-0ubuntu5.12+ta1
  Danach ist der dhcpd besser gegen einen integer overflow, einen buffer overflow, einen DoS durch leere Nachrichten und einen DoS durch zu viele Verbindungen geschützt.
  CVE-2018-5733
  CVE-2018-5732
  CVE-2017-3144
  CVE-2016-2774

Viele Grüße
Thomas Schmitt

[thomas]

Moin moin!

Und wieder gibt es neue Pakete für Babo62:

• samba 3.6.25-0ubuntu0.12.04.10+ta4
  Verhindert einen möglichen DoS-Angriff auf den print spooler service.
  CVE-2018-1050

• php5 5.3.10-1ubuntu3.26+ta4
  Dies ist ein Fix für einen buffer overflow bei ungewöhnlichen HTTP Antworten, die zu einem DoS führen könnten.
  CVE-2018-7584

Viele Grüße
Thomas

[thomas]

Guten Abend allerseits!

Aktualisierungen für Babo62 sind verfügbar:

• clamav 0.99.2+addedllvm-0ubuntu0.12.04.1+ta2
  Damit werden verschiedene DoS Szenarien und Speicherlecks verhindert.
  CVE-2017-6419
  CVE-2018-0202
  CVE-2018-1000085

• linuxmuster-linbo 2.3.37, Änderungen seit 2.3.31:

  • div. Fixes u.a. bzgl. Partitionslabel und Windows-Boot.
  • ntfs-3g auf Version 2017.3.23 aktualisiert.
  • Opsi-Verbesserungen bzgl. Migration von 6.2 nach 7.
  • neuer Kernelparameter forcegrub:
    Erzwingt auf UEFI-Systemen den Boot über Grub. Kann helfen bei Bootproblemen mit Windows 10 und UEFI.

Schönes WoE!

VG, Thomas

[thomas]

Moin moin!

Es gibt babo62-Updates für php5 (5.3.10-1ubuntu3.26+ta5):

• Der Patch für CVE-2018-10545 verhindert, das ein Prozess unter der Kontolle von PHP-FPM (FastCGI Process Manager) Informationen aus einem anderen solchen Prozess auslesen kann.
• Der Fix für CVE-2018-10547 ist ein Fix für den Fix von CVE-2018-5712.
• Der Patch für CVE-2018-10548 verhindert ein DoS im Zusammenhang mit speziellen Antworten des LDAP Servers.

VG,Thomas

[thomas]

Moinsen!

Weitere Patches für Babo62 liegen vor:

• apache2 2.2.22-1ubuntu1.11+ta4
  Damit werden Probleme bei den Modulen mod_authnz_ldap und mod_auth_digest gelöst und ein Crash bei bestimmten HTTP headern mit falschen Längenangaben verhindert.
  CVE-2017-15710
  CVE-2018-1301
  CVE-2018-1312

• cups 1.5.3-0ubuntu8.7+ta2
  Ungültige Nutzerkennzeichen (die z.B. äöü enthalten) konnten den CUPS Daemon bei aktivierter DBUS Unterstützung, wie z.B. bei Ubuntu, zum Absturz bringen.
  CVE-2017-18248

VG, Thomas

[thomas]

Hallo zusammen,

und weiter gehts mit Updates:

• samba 3.6.25-0ubuntu0.12.04.10+ta5
  Hierbei wird ein heap buffer overflow im Zusammenhang mit besonders langen Filenamen verhindert.
  CVE-2018-10858
• php5 5.3.10-1ubuntu3.26+ta6
  Es handelt sich hierbei um einen Fix für einen “integer overflow” und einen “out of bounds” read im exiv-Teil von php, die beide mit Hilfe eines besonders präparierten Bildes zu einem denial of service führen können.
  CVE-2018-14851
  CVE-2018-14883
• postgresql-9.1 9.1.24lts2-0+ta3
  Dies verhindert, das unprivilegierte Nutzer von dblink oder postgres_fdw eine Prüfung von Anmeldedaten umgehen können. Außerdem wären unter anderem SQL injections möglich gewesen.
  CVE-2018-10915
• linuxmuster-linbo 2.3.38
  Fix für #91.

Viele Grüße
Thomas

[thomas]

Moin!

Es gibt eine neue Version für php5 (5.3.10-1ubuntu3.26+ta7). Mit diesem Patch wird ein XSS Fehler bei GET-Anfragen, die ein “Transfer-Encoding: chunked” enthalten, verhindert.

Siehe CVE-2018-17082.

Viele Grüße
Thomas

[thomas]

Guten Abend allerseits!

Clamav in der neuen Version 0.99.2+addedllvm-0ubuntu0.12.04.1+ta3 ist verfügbar. Damit werden Fehler bei der Behandlung von PDF-Files und HWP-Files (Hangul Word Processor) behoben. Außerdem wird bei der Verarbeitung von MEW-Archiven ein unberechtigter Zugriff auf die falschen Speicherbereiche verhindert.

Die Version beinhaltet Patches für:

• CVE-2018-0360
• CVE-2018-0361
• CVE-2018-15378

VG, Thomas

[thomas]

Hallo zusammen!

Es gibt neue Pakete:

• cups 1.5.3-0ubuntu8.7+ta4
  enthält einen Patch für CVE-2018-4700. Damit wird der Zufallsgenerator für session cookies mit einem nicht vorhersagbaren Wert initialisiert.

• linuxmuster-linbo 2.3.39-1

  • Umstellung auf Ubuntu1804-Build-Umgebung.
  • nvme ssd Erkennung verbessert (#91).
  • Kernel-Update auf LTS-Verision 4.14.88 (#99). Dadurch Unterstützung neuerer Hardware.
  • Verbessertes Handling des FQDN von Clients.

Diese Linbo-Version steht auch für linuxmuster.net 7 zur Verfügung!

Viele Grüße
Thomas

[thomas]

Moinsen!

linuxmuster-linbo 2.3.40 bringt den kurzen Hostnamen für Ubuntu-Clients zurück. Muss ich mir für die lmn7-Clients halt was anderes ausdenken. Außerdem ist die Rückfrage beim Formatieren über linbo-remote -p gefixt.

VG, Thomas

[thomas]

Hallo!

es gibt eine neue Version 5.3.10-1ubuntu3.26+ta8 von php5. Mit diesen Patches wird verhindert, dass geeignete Parameter für imap_mail() den Server abstürzen lassen, und dass per imap_open() ein Angreifer beliebige Kommandos auf dem Server ausführen kann:

• CVE-2018-19935
• CVE-2018-19518

Viele Grüße und ein frohes neues Jahr
Thomas

[thomas]

Moin moin!

Aus aktuellem Anlass gibt es ein Update für apt (0.8.16~exp12ubuntu10.28). Durch eine fehlende Überprüfung von URLs können Angreifer beliebigen Code als root ausführen. Siehe CVE-2019-3462.

Thomas

[zefanja]

Hallo zusammen,

ich hänge die Frage einfach mal hier an: Wie lange wird es noch diese Sicherheitsupdates nach dem Release der LMNv7 geben? Ich frage, damit wir das Upgrade / Neuinstallation besser planen können. Gibt es da schon Anhaltspunkte?

vG Stephan

[baumhof]

Hallo Stefan,

ich hänge die Frage einfach mal hier an: Wie lange wird es noch diese
Sicherheitsupdates nach dem Release der LMNv7 geben? Ich frage, damit
wir das Upgrade / Neuinstallation besser planen können. Gibt es da schon
Anhaltspunkte?

wenn ich das richtig im Kopf habe, sind die Patches bis Oktober
gesichert (2019).
Wir sind aber schon am Planen einer Verlängerung um ein weiteres Jahr:
aber dann ist ziemlich sicher Schluss.

LG

Holger

[baumhof]

Hallo Stefan,

… vergessen: ich denke wir werden das bei der Arbeitstagung
durchdiskutieren.

LG

Holger

[thomas]

Guten Abend allerseits!

Es gibt neue Pakete für cups. Version 1.5.3-0ubuntu8.7+ta5 fixt das Problem mit den nicht ausgewerteten include-Dateien.

@Zitat Thorsten Alteholz

das Problem ist wahrscheinlich in der vorletzten Version …+ta3 entstanden. Dort gab es einen patch für CVE-2018-4180 und CVE-2018-4181, mit dem verhindert wird, dass Nutzer mit Schreibzugriff auf die cups Konfiguration mit Hilfe von cupsctl root-Rechte bekommen können.
Durch einen Teil des Patches werden include-Anweisungen in der Konfiguration einfach ignoriert. In der default-Konfiguration wird kein „include“ verwendet, daher fand das wohl keine größere Beachtung.
In der Version 1.5.3-0ubuntu8.7+ta5 [1] habe ich jetzt diesen Teil des Patches wieder zurück genommen. Sie müssten aber darauf achten, dass die Mitglieder der Gruppen lp und lpadmin mit den root-Nutzern übereinstimmen bzw. nur root die cups Konfiguration ändern darf.

Zur Info: Auf dem lmn-Server gibt es standardmäßig keine Mitglieder in den Gruppen lp und lpadmin.

Viele Grüße
Thomas

[thomas]

Moinsen!

Es gibt neue Pakete für Babo62:

• php5 5.3.10-1ubuntu3.26+ta9
  Im wesentlichen wird jetzt verhindert, dass auf ungültigen Speicher zugegriffen werden kann und es zu Abstürzen kommt. Siehe:
  CVE-2019-9020
  CVE-2019-9021
  CVE-2019-9023
  CVE-2019-9024

• libgd2 2.0.36~rc1~dfsg-6ubuntu2.4+ta3
  Damit wird ein doppelter free() für einen Pointer verhindert, der zu einem Absturz des verwendenden Programmes führen kann. Siehe CVE-2019-6978.

Viele Grüße
Thomas

[thomas]

Moin!

pkg.linuxmuster.net scheint offline zu sein. Dann warten wir halt mal.

VG, Thomas