News vom 01.10.2014
Meinberg Security Advisory: [MBGSA-1403] GNU Bash Environmental Variable Command Injection Vulnerability
CVE-IDs:
CVE-2014-6271, CVE-2014-6277, CVE-2014-6278, CVE-2014-7169
1. Beschreibung des Problems
Der von Meinberg in ihrer Firmware für LANTIME Netzwerk Appliances verwendete GNU Bash Kommandozeilen-Interpreter ist von mehreren Sicherheitslücken betroffen, die es einem Angreifer unter bestimmten Umständen erlauben, beliebige Shellbefehle auszuführen. Auf Meinberg LANTIME Systemen ist durch die Beschränkung des Shell-Zugriffs auf den Superuser-Access-Level der praktische Nutzen für einen potentiellen Angreifer sehr beschränkt, weil dieser zur Ausnutzung der Schwachstellen bereits volle Zugriffsrechte besitzen muss.Das Ausnutzen einer der Schwachstellen mithilfe eines CGI ist theoretisch möglich, etwaige Befehle würden dann aber mit reduzierten Rechten ausgeführt werden und benötigen gültige Zugangsberechtigungen auf dem angegriffenen Systemen.
2. Betroffene Systeme
Alle LANTIME Firmware Versionen ab V4.x sind von diesem Problem betroffen.
3. Mögliche Gegenmaßnahmen
Ein Update auf die jeweils letzte Firmware Version wird empfohlen, um die Sicherheitslücken zu schließen.
Bitte fordern Sie ein Firmware Update mithilfe des Formulars auf unserer Website an:
Firmware Updates für LANTIME Produkte inklusive SyncFire
Sie benötigen für die Anforderung die Seriennummer Ihres Meinberg LANTIME Systems.
Folgende Updates stehen zur Verfügung:
V4.x Update auf V4.60
V5.x Update auf V5.34p
V6.14.x Update auf V6.14.023
V6.15.x Update auf V6.16.002
V6.16.x Update auf V6.16.002
Falls Sie eine andere Firmware Version verwenden, können Sie entweder auf eine der oben genannten Firmware Versionen updaten oder Sie kontaktieren Ihren Meinberg Support, um weitere Unterstützung zu erhalten.
4. Weitere Quellen
Mehr über dieses Sicherheitsproblem können Sie auf den folgenden Websites erfahren:
https://ics-cert.us-cert.gov/advisories/
(ICS-CERT Advisory)
http://heise.de/-2403305
(Heise Security Artikel über Sicherheitslücken in BASH)