IT-Sicherheit: Hardware Appliance, Linux und MacOS X gefährdet - Update für IT-Sicherheitshinweis zu sudo (Risiko: mittel)

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 22.12.2024 ein Update zu einer am 26.01.2021 bekanntgewordenen Sicherheitslücke für sudo veröffentlicht. Betroffen von der Sicherheitslücke sind die Betriebssysteme Hardware Appliance, Linux, MacOS X und UNIX sowie die Produkte Avaya one-X, Cisco Prime Collaboration, Amazon Linux 2, Synology DiskStation Manager, IBM AIX, IBM DB2, Apple macOS, Ubuntu Linux, SUSE Linux, McAfee Web Gateway, Cisco Nexus, Oracle Linux, Unify OpenScape Voice, Unify OpenScape SBC, Oracle VM, Open Source Arch Linux, Red Hat Enterprise Linux, Avaya Aura Application Enablement Services, Avaya Aura Experience Portal, Unify OpenScape UC Application, Unify OpenScape Business, QNAP NAS, Unify OpenScape Xpert, Unify OpenScape Common Management Platform, Open Source sudo, Unify OpenScape Mediaserver, Unify OpenScape Branch, Meinberg LANTIME, EMC NetWorker und Juniper Contrail Service Orchestration.

Die neuesten Hersteller-Empfehlungen bezüglich Updates, Workarounds und Sicherheitspatches für diese Sicherheitslücke finden Sie hier: SUSE Security Update SUSE-SU-2024:4389-1 (Stand: 20.12.2024). Weitere nützliche Links werden weiter unten in diesem Artikel aufgeführt.

Sicherheitshinweis für sudo - Risiko: mittel

Risikostufe: 5 (mittel)
CVSS Base Score: 7,0
CVSS Temporal Score: 6,5
Remoteangriff: Nein

Zur Bewertung des Schweregrads von Sicherheitsanfälligkeiten in Computersystemen wird das Common Vulnerability Scoring System (CVSS) angewandt. Der CVSS-Standard ermöglicht es, potenzielle oder tatsächliche Sicherheitslücken auf Basis verschiedener Metriken miteinander zu vergleichen, um eine darauf aufbauende Prioritätenliste zur Einleitung von Gegenmaßnahmen zu erstellen. Für die Schweregrade einer Schwachstelle werden die Attribute "keine", "niedrig", "mittel", "hoch" und "kritisch" verwendet. Der Base Score bewertet die Voraussetzungen für einen Angriff (u.a. Authentifizierung, Komplexität, Privilegien, Userinteraktion) sowie dessen Konsequenzen. Beim Temporal Score fließen über die Zeit veränderbare Rahmenbedingungen in die Bewertung ein. Der Schweregrad der hier behandelten Schwachstelle wird nach dem CVSS mit einem Base Score von 7,0 als "mittel" eingeschätzt.

sudo Bug: Schwachstelle ermöglicht Privilegieneskalation

Sudo ist ein Linux System Werkzeug um Befehle unter anderem Benutzernamen/Gruppennamen (UID/GID) auszuführen.

Ein lokaler Angreifer kann eine Schwachstelle in sudo ausnutzen, um seine Privilegien zu erhöhen.

Klassifiziert wurde die Schwachstelle mithilfe des CVE-Bezeichnungssystems (Common Vulnerabilities and Exposures) durch die individuelle Seriennummer CVE-2021-3156.

Von der sudo-Sicherheitslücke betroffene Systeme im Überblick

Betriebssysteme
Hardware Appliance, Linux, MacOS X, UNIX

Produkte
Avaya one-X (cpe:/a:avaya:one-x)
Cisco Prime Collaboration (cpe:/a:cisco:prime_collaboration)
Amazon Linux 2 (cpe:/o:amazon:linux_2)
Synology DiskStation Manager (cpe:/a:synology:diskstation_manager)
IBM AIX (cpe:/o:ibm:aix)
IBM DB2 (cpe:/a:ibm:db2)
Apple macOS (cpe:/o:apple:mac_os)
Ubuntu Linux (cpe:/o:canonical:ubuntu_linux)
SUSE Linux (cpe:/o:suse:suse_linux)
McAfee Web Gateway (cpe:/a:mcafee:web_gateway)
Cisco Nexus 3000 (cpe:/h:cisco:nexus)
Cisco Nexus 9000 (cpe:/h:cisco:nexus)
Oracle Linux (cpe:/o:oracle:linux)
Unify OpenScape Voice (cpe:/a:unify:openscape_voice)
Unify OpenScape SBC (cpe:/a:unify:openscape_sbc)
Oracle VM (cpe:/a:oracle:vm)
Open Source Arch Linux (cpe:/o:archlinux:archlinux)
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
Avaya Aura Application Enablement Services (cpe:/a:avaya:aura_application_enablement_services)
Avaya Aura Experience Portal (cpe:/a:avaya:aura_experience_portal)
Unify OpenScape UC Application (cpe:/a:unify:openscape_uc_application)
Unify OpenScape Business (cpe:/a:unify:openscape_business)
QNAP NAS (cpe:/h:qnap:nas)
Unify OpenScape Xpert (cpe:/h:unify:openscape_xpert)
Unify OpenScape Common Management Platform (cpe:/a:unify:openscape_common_management_platform)
Open Source sudo <1.9.5_p2 (cpe:/a:todd_miller:sudo)
Open Source sudo 1.9.5_p2 (cpe:/a:todd_miller:sudo)
Unify OpenScape Mediaserver (cpe:/a:unify:openscape_mediaserver)
Unify OpenScape Branch (cpe:/h:unify:openscape_branch)
Meinberg LANTIME (cpe:/h:meinberg:lantime)
EMC NetWorker <19.4.0.2 (cpe:/a:emc:networker)
EMC NetWorker 19.4.0.2 (cpe:/a:emc:networker)
Juniper Contrail Service Orchestration (cpe:/a:juniper:contrail_service_orchestration)

Allgemeine Maßnahmen zum Umgang mit IT-Sicherheitslücken

1. Anwender der betroffenen Anwendungen sollten diese auf dem aktuellsten Stand halten. Hersteller sind bei Bekanntwerden von Sicherheitslücken dazu angehalten, diese schnellstmöglich durch Entwicklung eines Patches oder eines Workarounds zu beheben. Sollten Sicherheitspatches verfügbar sein, installieren Sie diese zeitnah.
2. Konsultieren Sie zu Informationszwecken die im nächsten Abschnitt aufgeführten Quellen. Häufig enthalten diese weiterführende Informationen zur aktuellsten Version der betreffenden Software sowie zur Verfügbarkeit von Sicherheitspatches oder Hinweise zu Workarounds.
3. Wenden Sie sich bei weiteren Fragen oder Unsicherheiten an Ihren zuständigen Administrator. IT-Sicherheitsverantwortliche sollten regelmäßig prüfen, wann der von der IT-Sicherheitswarnung betroffene Hersteller ein neues Sicherheitsupdate zur Verfügung stellt.

Hersteller-Informationen zu Updates, Patches und Workarounds

An dieser Stelle befinden sich weiterführende Links mit Informationen über Bug-Reports, Security-Fixes und Workarounds.

SUSE Security Update SUSE-SU-2024:4389-1 vom 2024-12-20 (22.12.2024)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2024-December/020038.html

IBM Security Bulletin 7008449 vom 2023-06-29 (29.06.2023)
Weitere Informationen finden Sie unter: https://www.ibm.com/support/pages/node/7008449

Juniper Security Advisory JSA70182 vom 2023-01-12 (11.01.2023)
Weitere Informationen finden Sie unter: https://supportportal.juniper.net/s/article/2023-01-Security-Bulletin-Contrail-Service-Orchestration-Multiple-vulnerabilities-resolved-in-CSO-6-3-0?language=en_US

ORACLE OVMSA-2021-0012 vom 2021-06-03 (03.06.2021)
Weitere Informationen finden Sie unter: https://oss.oracle.com/pipermail/oraclevm-errata/2021-June/001015.html

EMC Security Advisory DSA-2021-114 vom 2021-06-01 (01.06.2021)
Weitere Informationen finden Sie unter: https://www.dell.com/support/kbdoc/de-de/000187723/dsa-2021-114-dell-emc-networker-vproxy-security-update-for-multiple-third-party-component-vulnerabilities

SUSE Security Update SUSE-SU-2021:1273-1 vom 2021-04-20 (20.04.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-April/008663.html

SUSE Security Update SUSE-SU-2021:1274-1 vom 2021-04-20 (20.04.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-April/008662.html

SUSE Security Update SUSE-SU-2021:1275-1 vom 2021-04-20 (20.04.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-April/008661.html

SUSE Security Update SUSE-SU-2021:1267-1 vom 2021-04-20 (20.04.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-April/008659.html

Meinberg Security Advisory (20.04.2021)
Weitere Informationen finden Sie unter: https://www.meinberg.de/german/news/meinberg-security-advisory-mbgsa-2021-02-meinberg-lantime-firmware-v7-02-003-und-v6-24-028.htm

Meinberg Security Advisory MBGSA-2021.02 vom 2021-04-20 (19.04.2021)
Weitere Informationen finden Sie unter: https://www.meinberg.de/german/news/meinberg-security-advisory-mbgsa-2021-02-meinberg-lantime-firmware-v7-02-003-und-v6-24-028.htm

Oracle Linux Security Advisory ELSA-2021-9169 vom 2021-04-15 (15.04.2021)
Weitere Informationen finden Sie unter: https://linux.oracle.com/errata/ELSA-2021-9169.html

SUSE Security Update SUSE-SU-2021:0928-1 vom 2021-03-24 (24.03.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-March/008540.html

HPE Security Bulletin (01.03.2021)
Weitere Informationen finden Sie unter: https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbux04095en_us

Synology Security Advisory SYNOLOGY-SA-21:02 vom 2021-02-22 (21.02.2021)
Weitere Informationen finden Sie unter: https://www.synology.com/en-global/support/security/Synology_SA_21_02

McAfee Security Bulletin SB10348 vom 2021-02-18 vom 2021-02-18 (18.02.2021)
Weitere Informationen finden Sie unter: https://kc.mcafee.com/corporate/index?page=content&id=SB10348

McAfee Security Bulletin SB10348 vom 2021-02-18 (18.02.2021)
Weitere Informationen finden Sie unter: http://www.auscert.org.au/bulletins/ESB-2021.0609

Apple Security Advisory HT212177 vom 2021-02-09 (09.02.2021)
Weitere Informationen finden Sie unter: https://support.apple.com/en-us/HT212177

AVAYA Security Advisory ASA-2021-007 vom 2021-02-04 (08.02.2021)
Weitere Informationen finden Sie unter: https://downloads.avaya.com/css/P8/documents/101073902

AVAYA Security Advisory ASA-2021-008 vom 2021-02-04 (08.02.2021)
Weitere Informationen finden Sie unter: https://downloads.avaya.com/css/P8/documents/101073903

Cisco Security Advisory CISCO-SA-SUDO-PRIVESC-JAN2021-QNYQFCM vom 2021-02-05 (07.02.2021)
Weitere Informationen finden Sie unter: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sudo-privesc-jan2021-qnYQfcM

Unify Security Advisory Report OBSO-2102-01 vom 2021-02-04 (04.02.2021)
Weitere Informationen finden Sie unter: https://networks.unify.com/security/advisories/OBSO-2102-01.pdf

Amazon Linux Security Advisory ALAS-2021-1590 vom 2021-02-03 (03.02.2021)
Weitere Informationen finden Sie unter: https://alas.aws.amazon.com/AL2/ALAS-2021-1590.html

Red Hat Security Advisory RHSA-2021:0401 vom 2021-02-03 (03.02.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0401

Red Hat Security Advisory RHSA-2021:0395 vom 2021-02-03 (02.02.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0395

Tweet @hackerfantastic vom 2021-02-02 (02.02.2021)
Weitere Informationen finden Sie unter: https://twitter.com/hackerfantastic/status/1356645638151303169

Cisco Security Advisory CISCO-SA-SUDO-PRIVESC-JAN2021-QNYQFCM vom 2021-01-29 (31.01.2021)
Weitere Informationen finden Sie unter: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sudo-privesc-jan2021-qnYQfcM

ORACLE OVMSA-2021-0003 vom 2021-01-28 (28.01.2021)
Weitere Informationen finden Sie unter: https://oss.oracle.com/pipermail/oraclevm-errata/2021-January/001009.html

Oracle Linux Security Advisory ELSA-2021-0218 vom 2021-01-27 (27.01.2021)
Weitere Informationen finden Sie unter: http://linux.oracle.com/errata/ELSA-2021-0218.html

SUSE Security Update SUSE-SU-2021:0232-1 vom 2021-01-27 (27.01.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-January/008252.html

Oracle Linux Security Advisory ELSA-2021-9019 vom 2021-01-27 (27.01.2021)
Weitere Informationen finden Sie unter: http://linux.oracle.com/errata/ELSA-2021-9019.html

QNAP Security Advisory QSA-21-02 vom 2021-01-28 (27.01.2021)
Weitere Informationen finden Sie unter: https://www.qnap.com/de-de/security-advisory/QSA-21-02

Ubuntu Security Notice USN-4705-2 vom 2021-01-27 (27.01.2021)
Weitere Informationen finden Sie unter: https://usn.ubuntu.com/4705-2

Gentoo Linux Security Announcement GLSA 202101-33 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://security.gentoo.org/glsa/202101-33

Arch Linux Security Announcement ASA-202101-25 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://security.archlinux.org/ASA-202101-25

SUSE Security Update SUSE-SU-2021:0227-1 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-January/008250.html

SUSE Security Update SUSE-SU-2021:0226-1 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-January/008250.html

Debian Security Announcement DSA-4839 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://www.debian.org/security/2021/dsa-4839

SUSE Security Update SUSE-SU-2021:0225-1 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2021-January/008251.html

Debian Security Announcement DLA 2534-1 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://lists.debian.org/debian-lts-announce/2021/01/msg00022.html

Oracle Security Announcement ELSA-2021-0221 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: http://linux.oracle.com/errata/ELSA-2021-0221.html

Ubuntu Security Notice USN-4705 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://ubuntu.com/security/notices/USN-4705-1

Red Hat Security Advisory RHSA-2021:0227 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0227

Red Hat Security Advisory RHSA-2021:0226 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0226

Red Hat Security Advisory RHSA-2021:0225 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0225

Red Hat Security Advisory RHSA-2021:0224 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0224

Red Hat Security Advisory RHSA-2021:0223 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0223

Red Hat Security Advisory RHSA-2021:0222 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0222

Red Hat Security Advisory RHSA-2021:0221 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0221

Red Hat Security Advisory RHSA-2021:0220 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0220

Red Hat Security Advisory RHSA-2021:0219 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0219

Red Hat Security Advisory RHSA-2021:0218 vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2021:0218

Eintrag in der OSS Mailing-Liste vom 2021-01-26 (26.01.2021)
Weitere Informationen finden Sie unter: https://seclists.org/oss-sec/2021/q1/71

Versionshistorie dieses Sicherheitshinweises

Dies ist die 23. Version des vorliegenden IT-Sicherheitshinweises für sudo. Sollten weitere Updates bekanntgegeben werden, wird dieser Text aktualisiert. Änderungen oder Ergänzungen können Sie in dieser Versionshistorie nachlesen.

26.01.2021 - Initiale Fassung
27.01.2021 - Neue Updates von Ubuntu, QNAP, Oracle Linux und SUSE aufgenommen
28.01.2021 - Neue Updates von ORACLE aufgenommen
31.01.2021 - Neue Updates von Cisco aufgenommen
01.02.2021 - Produkte angepasst
02.02.2021 - Apple macOS und IBM AIX ebenfalls betroffen, derzeit kein Patch
03.02.2021 - Neue Updates von Red Hat und Amazon aufgenommen
04.02.2021 - Neue Updates von Unify aufgenommen
07.02.2021 - Neue Informationen von Cisco aufgenommen - FXOS nicht betroffen
08.02.2021 - Neue Updates von AVAYA aufgenommen
09.02.2021 - Neue Updates von Apple aufgenommen
18.02.2021 - Neue Updates von McAfee aufgenommen
21.02.2021 - Neue Updates von Synology aufgenommen
01.03.2021 - Neue Updates von HP aufgenommen
24.03.2021 - Neue Updates von SUSE aufgenommen
15.04.2021 - Neue Updates von Oracle Linux aufgenommen
19.04.2021 - Neue Updates von Meinberg aufgenommen
20.04.2021 - Neue Updates von SUSE aufgenommen
01.06.2021 - Neue Updates von EMC aufgenommen
03.06.2021 - Neue Updates von ORACLE aufgenommen
11.01.2023 - Neue Updates von Juniper aufgenommen
29.06.2023 - Neue Updates von IBM aufgenommen
22.12.2024 - Neue Updates von SUSE aufgenommen

+++ Redaktioneller Hinweis: Dieser Text wurde auf Basis aktueller BSI-Daten generiert und wird je nach Warnlage datengetrieben aktualisiert. Feedback und Anmerkungen nehmen wir unter hinweis@news.de entgegen. +++

Folgen Sie News.de schon bei Facebook, Twitter, Pinterest und YouTube? Hier finden Sie brandheiße News, aktuelle Videos und den direkten Draht zur Redaktion.

kns/roj/news.de