Sicherheitslücke in Ansible gepatcht

11.01.2017

Ein schwerwiegender Bug in der Konfigurationsmanagement-Software lässt sich unter Umständen dazu verwenden, den Management-Rechner zu übernehmen. 

Unter dem Kürzel CVE-2016-9587 wird ein Bug in der Konfigurationsmanagement-Software Ansible geführt, der es ermöglicht, auf dem Management-Rechner eigenen Code auszuführen. Obwohl normalerweise wenig Gefahr von den verwalteten Clients ausgeht, weil die Konfiguration vom zentralen Server gemanagt wird, gibt es über die sogenannten Facts eine Möglichkeit, dem Server manipulierte Daten unterzuschieben. Über die Facts übermitteln Clients verschiedene Informationen an den Server, zum Beispiel über installierte Software oder die verwendete Hardware. 

Manipulieren Angreifer die Facts in einer bestimmten Art und Weise, wozu sie die Kontrolle über einen Client erlangen müssen, können sie eigenen Code auf dem Management-Rechner ausführen. Gefunden haben die Lücke die Security-Experten der Firma Computest. In ihrem Security-Advisory zeigen sie mehrere Möglichkeiten, Facts entsprechend zu manipulieren. 

Vor der Veröffentlichung des Bugs haben sie die Ansible-Entwickler informiert, sodass mit den Ansible-Versionen 2.1.4 R1 und 2.2.1 RC3 zwei gefixte Pakete zur Verfügung stehen

Ähnliche Artikel

comments powered by Disqus

Artikel der Woche

Anti-Ransomware-Tools

Ransomware ist nach wie vor eine Plage und das Potenzial, das derartige Schadsoftware besitzt, stellte erst Mitte Mai "WannaDecrypt0r" unter Beweis. Der beste Schutz vor Ransomware sind Backups, doch das wissen auch die Erpresser. Daher begnügen sich diese in Zukunft nicht mehr damit, Dateien "nur" zu verschlüsseln. Vielmehr kopieren sich Angreifer die Daten und drohen mit deren Veröffentlichung. Angesichts zahlloser neuer Varianten lassen sich Virenwächter regelmäßig austricksen. Spezielle Anti-Ransomware-Tools versprechen daher Abhilfe. (mehr)
Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Linux-Backup

Welche Backup-Lösung setzen Sie für Linux im professionellen Umfeld ein?

  • keine
  • eigene Scripts
  • rsnapshot
  • rdiff-backup
  • Bacula
  • Bareos
  • Borg
  • Duplicity
  • Amanda
  • Burp
  • Clonezilla
  • Acronis
  • Arkeia
  • SEP sesam
  • Veeam
  • Redo Backup
  • Relax-and-Recover
  • andere kommerzielle Software
  • andere Open-Source-Software

Google+

Ausgabe /2017

Microsite