Hi stakanov, thanks for reaching out to us. We are aware of this issue since yesterday and working on a solution. https://bugzilla.suse.com/show_bug.cgi?id=989698 For openSUSE we have already new RPMs that can be tested. This can be done either via the general test channel, or by picking just the corresponding maintenance project. With Leap 42.1 this can be done by adding the test channel via zypper: #> zypper ar -f http://download.opensuse.org/update/leap/42.1-test/openSUSE:Maintenance:Test... #> zypper ref -s ... #> zypper se -s libKF5Archive5 ... v | libKF5Archive5 | package | 5.21.0-15.1 | x86_64 | openSUSE-Leap-42.1-Update-Test i | libKF5Archive5 | package | 5.21.0-12.1 | x86_64 | openSUSE-Leap-42.1-Update v | libKF5Archive5 | package | 5.20.0-9.1 | x86_64 | openSUSE-Leap-42.1-Update ... The maintenance project can be found here: http://download.opensuse.org/repositories/openSUSE:/Maintenance:/5390/ Hope that helps... ;) Ciao, Alex~ On Wed, Jul 20, 2016 at 03:33:25PM +0200, stakanov@freenet.de wrote:
I found the following CVE notice and I asked myself if this will be back ported to Leap?
This because the knewstuff function is AFAIK part of Leap and quite often used by users to personalize their desktops. The message is in German (as apparently for copyright necessities I have to quote it uncut) but the references to CVE, bugs etc, should all be in English.
Regards. CERT-Bund Meldung-----------------KURZINFO CB-K16/1091 Titel: KDE Frameworks: Eine Schwachstelle ermöglicht die Manipulation von Dateien Datum: 19.07.2016 Software: KDE Frameworks https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7913c4c81cREVISIONS HISTORIE Version: 1 Neues AdvisoryBESCHREIBUNG KDE Frameworks ist eine Sammlung von Zusatzbibliotheken zur einfachen Integration in Qt-Anwendungen. Ein entfernter, nicht authentifizierter Angreifer kann mithilfe einer speziell präparierten Archivdatei, die ein Benutzer über KNewStuff herunterlädt und entpackt, beliebige Dateien relativ zum Extraktionsverzeichnis überschreiben und dadurch weitere Angriffe ausführen. Die Schwachstelle in KNewStuff wird in KArchive als Teil der Veröffentlichung der KDE Frameworks 5.24.0 behoben. Für Fedora 23 und 24 stehen Sicherheitsupdates für die KDE Frameworks auf Version 5.24.0 im Status 'testing' bereit. Das entsprechende Sicherheitsupdate für Fedora EPEL 7 befindet sich im Status 'pending'. [1] Fedora Security Update FEDORA-2016-4701636a74 (Fedora 24) https://bodhi.fedoraproject.org/updates/FEDORA-2016-4701636a74> [2] Fedora Security Update FEDORA-2016-cef912e3a4 (Fedora 23) https://bodhi.fedoraproject.org/updates/FEDORA-2016-cef912e3a4> [3] Fedora Security Update FEDORA-EPEL-2016-7913c4c81c (Fedora EPEL 7) https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7913c4c81c> [4] Release Notes KDE Frameworks 5.24.0 https://www.kde.org/announcements/kde-frameworks-5.24.0.php> [5] Schwachstelle CVE-2016-6232 (NVD) http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6232>Mit freundlichen Grüßendas Team CERT-Bund--------------------------------------------Bundesamt für Sicherheit in der Informationstechnik (BSI)Referat C 21Godesberger Allee 185 -18953175 BonnPostfach 20 03 6353133 BonnTelefon: +49 (0)228 99 9582 222Telefax: +49 (0)228 99 9582 5427E-Mail: wid-kontakt@bsi.bund.deInternet: www.cert-bund.de--------------------------------------------Die Authentizität dieser Nachricht kann anhand der digitalen Signatur überprüft werden. Die hierfür zumEinsatz kommenden öffentlichen Schlüssel sowie die Verfahren sind auf den Seiten des CERT-Bundhttps://www.cert-bund.de/wid-sig aufgeführt und erläutert.Die Inhalte dieser CERT-Bund Kurzinfo repräsentieren den Kenntnisstand des BSI zum Zeitpunkt der Versendung.Eine Haftung für eventuelle Schäden oder Konsequenzen, die durch die direkte oder indirekte Nutzung derInhalte entstehen, wird, außer für die Fälle der Verletzung von Leben, Körper und Gesundheit sowie vonVorsatz oder grober Fahrlässigkeit, ausgeschlossen.Die CERT-Bund Kurzinfos dürfen nur kopiert und weitergegeben werden, wenn dies im vollständigen Wortlaut,ohne Änderungen und mit BSI-Copyright-Informationen geschieht.
--- Alle Postfächer an einem Ort. Jetzt wechseln und E-Mail-Adresse mitnehmen! https://email.freenet.de/mail/Uebersicht?epid=e9900000451
-- To unsubscribe, e-mail: opensuse-security+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-security+owner@opensuse.org
--
Alexander Bergmann