CVE-2016-6232 weakness allows the manipulation of data (knewstuff)

classic Classic list List threaded Threaded
2 messages Options
Reply | Threaded
Open this post in threaded view
|

CVE-2016-6232 weakness allows the manipulation of data (knewstuff)

stakanov
I found the following CVE notice and I asked myself if this will be back ported to Leap?

This because the knewstuff function is AFAIK part of Leap and quite often used by users to personalize their desktops.
The message is in German (as apparently for copyright necessities I have to quote it uncut) but the references to CVE, bugs etc, should all be in English.

Regards.
CERT-Bund Meldung-----------------KURZINFO CB-K16/1091    Titel:              KDE Frameworks: Eine Schwachstelle ermöglicht die                        Manipulation von Dateien    Datum:              19.07.2016    Software:           KDE Frameworks https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7913c4c81cREVISIONS HISTORIE    Version: 1    Neues AdvisoryBESCHREIBUNG    KDE Frameworks ist eine Sammlung von Zusatzbibliotheken zur einfachen    Integration in Qt-Anwendungen.    Ein entfernter, nicht authentifizierter Angreifer kann mithilfe einer    speziell präparierten Archivdatei, die ein Benutzer über KNewStuff    herunterlädt und entpackt, beliebige Dateien relativ zum    Extraktionsverzeichnis überschreiben und dadurch weitere Angriffe    ausführen.    Die Schwachstelle in KNewStuff wird in KArchive als Teil der    Veröffentlichung der KDE Frameworks 5.24.0 behoben. Für Fedora 23 und 24    stehen Sicherheitsupdates für die KDE Frameworks auf Version 5.24.0 im    Status 'testing' bereit. Das entsprechende Sicherheitsupdate für Fedora    EPEL 7 befindet sich im Status 'pending'.    [1] Fedora Security Update FEDORA-2016-4701636a74 (Fedora 24)        https://bodhi.fedoraproject.org/updates/FEDORA-2016-4701636a74>    [2] Fedora Security Update FEDORA-2016-cef912e3a4 (Fedora 23)        https://bodhi.fedoraproject.org/updates/FEDORA-2016-cef912e3a4>    [3] Fedora Security Update FEDORA-EPEL-2016-7913c4c81c (Fedora EPEL 7)        https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7913c4c81c>    [4] Release Notes KDE Frameworks 5.24.0        https://www.kde.org/announcements/kde-frameworks-5.24.0.php>    [5] Schwachstelle CVE-2016-6232 (NVD)        http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6232>Mit freundlichen Grüßendas Team CERT-Bund--------------------------------------------Bundesamt für Sicherheit in der Informationstechnik (BSI)Referat C 21Godesberger Allee 185 -18953175 BonnPostfach 20 03 6353133 BonnTelefon:    +49 (0)228 99 9582 222Telefax:    +49 (0)228 99 9582 5427E-Mail:   [hidden email]: www.cert-bund.de--------------------------------------------Die Authentizität dieser Nachricht kann anhand der digitalen Signatur überprüft werden. Die hierfür zumEinsatz kommenden öffentlichen Schlüssel sowie die Verfahren sind auf den Seiten des CERT-Bundhttps://www.cert-bund.de/wid-sig aufgeführt und erläutert.Die Inhalte dieser CERT-Bund Kurzinfo repräsentieren den Kenntnisstand des BSI zum Zeitpunkt der Versendung.Eine Haftung für eventuelle Schäden oder Konsequenzen, die durch die direkte oder indirekte Nutzung derInhalte entstehen, wird, außer für die Fälle der Verletzung von Leben, Körper und Gesundheit sowie vonVorsatz oder grober Fahrlässigkeit, ausgeschlossen.Die CERT-Bund Kurzinfos dürfen nur kopiert und weitergegeben werden, wenn dies im vollständigen Wortlaut,ohne Änderungen und mit BSI-Copyright-Informationen geschieht.


 

---
Alle Postfächer an einem Ort. Jetzt wechseln und E-Mail-Adresse mitnehmen! https://email.freenet.de/mail/Uebersicht?epid=e9900000451


--
To unsubscribe, e-mail: [hidden email]
To contact the owner, e-mail: [hidden email]

Reply | Threaded
Open this post in threaded view
|

Re: CVE-2016-6232 weakness allows the manipulation of data (knewstuff)

Alexander Bergmann
Hi stakanov,

thanks for reaching out to us. We are aware of this issue since
yesterday and working on a solution.

https://bugzilla.suse.com/show_bug.cgi?id=989698

For openSUSE we have already new RPMs that can be tested. This can be
done either via the general test channel, or by picking just the
corresponding maintenance project.

With Leap 42.1 this can be done by adding the test channel via zypper:

#> zypper ar -f http://download.opensuse.org/update/leap/42.1-test/openSUSE:Maintenance:Test:Leap_42.1.repo
#> zypper ref -s
...
#> zypper se -s libKF5Archive5
...
v | libKF5Archive5 | package | 5.21.0-15.1 | x86_64 | openSUSE-Leap-42.1-Update-Test
i | libKF5Archive5 | package | 5.21.0-12.1 | x86_64 | openSUSE-Leap-42.1-Update
v | libKF5Archive5 | package | 5.20.0-9.1  | x86_64 | openSUSE-Leap-42.1-Update
...

The maintenance project can be found here:

http://download.opensuse.org/repositories/openSUSE:/Maintenance:/5390/

Hope that helps... ;)


Ciao,
Alex~

On Wed, Jul 20, 2016 at 03:33:25PM +0200, [hidden email] wrote:

> I found the following CVE notice and I asked myself if this will be back ported to Leap?
>
> This because the knewstuff function is AFAIK part of Leap and quite often used by users to personalize their desktops.
> The message is in German (as apparently for copyright necessities I have to quote it uncut) but the references to CVE, bugs etc, should all be in English.
>
> Regards.
> CERT-Bund Meldung-----------------KURZINFO CB-K16/1091    Titel:              KDE Frameworks: Eine Schwachstelle ermöglicht die                        Manipulation von Dateien    Datum:              19.07.2016    Software:           KDE Frameworks https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7913c4c81cREVISIONS HISTORIE    Version: 1    Neues AdvisoryBESCHREIBUNG    KDE Frameworks ist eine Sammlung von Zusatzbibliotheken zur einfachen    Integration in Qt-Anwendungen.    Ein entfernter, nicht authentifizierter Angreifer kann mithilfe einer    speziell präparierten Archivdatei, die ein Benutzer über KNewStuff    herunterlädt und entpackt, beliebige Dateien relativ zum    Extraktionsverzeichnis überschreiben und dadurch weitere Angriffe    ausführen.    Die Schwachstelle in KNewStuff wird in KArchive als Teil der    Veröffentlichung der KDE Frameworks 5.24.0 behoben. Für Fedora 23 und 24    stehen Sicherheitsupdates für die KDE Frameworks auf Version 5.24.0 im    Status 'testing' bereit. Das entsprechende Sicherheitsupdate für Fedora    EPEL 7 befindet sich im Status 'pending'.    [1] Fedora Security Update FEDORA-2016-4701636a74 (Fedora 24)        https://bodhi.fedoraproject.org/updates/FEDORA-2016-4701636a74>    [2] Fedora Security Update FEDORA-2016-cef912e3a4 (Fedora 23)        https://bodhi.fedoraproject.org/updates/FEDORA-2016-cef912e3a4>    [3] Fedora Security Update FEDORA-EPEL-2016-7913c4c81c (Fedora EPEL 7)        https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7913c4c81c>    [4] Release Notes KDE Frameworks 5.24.0        https://www.kde.org/announcements/kde-frameworks-5.24.0.php>    [5] Schwachstelle CVE-2016-6232 (NVD)        http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6232>Mit freundlichen Grüßendas Team CERT-Bund--------------------------------------------Bundesamt für Sicherheit in der Informationstechnik (BSI)Referat C 21Godesberger Allee 185 -18953175 BonnPostfach 20 03 6353133 BonnTelefon:    +49 (0)228 99 9582 222Telefax:    +49 (0)228 99 9582 5427E-Mail:   [hidden email]: www.cert-bund.de--------------------------------------------Die Authentizität dieser Nachricht kann anhand der digitalen Signatur überprüft werden. Die hierfür zumEinsatz kommenden öffentlichen Schlüssel sowie die Verfahren sind auf den Seiten des CERT-Bundhttps://www.cert-bund.de/wid-sig aufgeführt und erläutert.Die Inhalte dieser CERT-Bund Kurzinfo repräsentieren den Kenntnisstand des BSI zum Zeitpunkt der Versendung.Eine Haftung für eventuelle Schäden oder Konsequenzen, die durch die direkte oder indirekte Nutzung derInhalte entstehen, wird, außer für die Fälle der Verletzung von Leben, Körper und Gesundheit sowie vonVorsatz oder grober Fahrlässigkeit, ausgeschlossen.Die CERT-Bund Kurzinfos dürfen nur kopiert und weitergegeben werden, wenn dies im vollständigen Wortlaut,ohne Änderungen und mit BSI-Copyright-Informationen geschieht.
>
>
>  
>
> ---
> Alle Postfächer an einem Ort. Jetzt wechseln und E-Mail-Adresse mitnehmen! https://email.freenet.de/mail/Uebersicht?epid=e9900000451
>
>
> --
> To unsubscribe, e-mail: [hidden email]
> To contact the owner, e-mail: [hidden email]
>
>
--
Alexander Bergmann <[hidden email]>, Security Engineer, GPG:9FFA4886
SUSE Linux GmbH, GF: Felix Imendörffer, Jane Smithard, Graham Norton
HRB 21284 (AG Nürnberg)

signature.asc (484 bytes) Download Attachment