Ein wichtiger Sicherheitspatch wurde veröffentlicht (SEC2018_20180410) (4210065)

Ein Hotfix wurde erstellt, um kritische Sicherheitslücke zu schließen.
Dieser Hotfix ist für die Versionen 7.0, 7.1, 7.2, 8.0 und 8.1 der SMA veröffentlicht worden.
Dieser Hotfix sollte schnellstmöglich eingespielt werden. Er wird auf allen üblichen Distributionswegen angeboten. 
Hinweis: Die Version 9.0 (und neuer) beinhaltet diesen Fix bereits.

Hinweis: Der Hotfix wird die Appliance neu starten

Nachdem der Hotfix eingespielt wurde, wird die Versionsnummer erhöht, um auf einen Blick zu sehen, dass der Fix bereits eingespielt wurde:

7.0.121307

7.1.150

7.2.103

8.0.320

8.1.108 

Für alle Versionen vor 7.0, die nicht mehr gepflegt werden, wird das Upgrade auf 7.0.121307 (Version mit Hotfix) dringend empfohlen.
Hier ist die Upgradeprozedur mit allen Grundversionen sowie den Agentversionen beschrieben.

FAQ:
Q: Was ist die Sicherheitslücke?
A: Es gibt eine Lücke, die SQL/Command injections und XSS (Cross site scripting) ermöglichen.

Q: Welche Teile der Appliance sind betroffen?
A: Provisionierung, Service Desk E-Mail und KB-Artikel, Fehlerbehandliung, Einstellungen und Berichtswesen

Q: Muss auf die neueste Version geupdated werden?
A: Es ist dringend empfohlen, mindestens den Hotfix einzuspielen. Alle zukünftigen Upgrades (ab Version 7.0) werden diesen Hotfix enthalten. Aufgrund der sich immer wieder ändernden IT-Welt überprüft KACE permanent externe und Drittanbieter-Lücken, die sicherheitsrelevant für die Appliance sein können und pflegt Fixes ein, sobald sie notwendig werden.

Q: Wie kann man überprüfen, ob die Appliance betroffen ist?
A: Wenn die Appliance in einer betroffenen Version vorliegt, ist sie betroffen. Aktuell liegen keine Berichte vor, dass die Lücken bereits ausgenutzt werden.

Q: Wie kann man sicherstellen, dass die Appliance nicht mehr angreifbar ist?
A: Wenn die Appliance auf einer nicht betroffenen Version ist, kann man sicher sein, dass diese Sicherheitslücke nicht mehr existiert. Diese Versionen wurden bereits veröffentlicht. Mit einem Blick auf die Informationsseite kann man dies sicherstellen

Q: Betrifft dies auch Appliances, die nicht über das Internet erreichbar sind?
A: Um jegliche Risiken auszuschließen, ist es dringend empfohlen, alle Appliances upzugraden

Q: Betrifft dieser Patch andere Funktionen?
A: Nein.

Q: Die SMA hat noch eine ältere Version, was muss getan werden?
A: Jede Version vor 7.0 is nicht mehr supportet. Es ist dringend empfohlen, auf eine supportete Version zu patchen. Im Software Product Lifecycle kann man sehen, welche Version in welchem Supportstatus ist:
https://support.quest.com/k1000-systems-management-appliance/lifecycle
https://support.quest.com/k2000-systems-deployment-appliance/lifecycle

Q: Betrifft diese Sicherheitslücke auch die KACE Agenten, die auf den verwalteten Systemen installiert sind?
A: Nein

Hier kann der Patch heruntergeladen werden.

Hinweis: Der Hotfix wird die Appliance neu starten

Nachdem der Hotfix eingespielt wurde, wird die Versionsnummer erhöht, um auf einen Blick zu sehen, dass der Fix bereits eingespielt wurde:

7.0.121307

7.1.150

7.2.103

8.0.320

8.1.108 

Für alle Versionen vor 7.0, die nicht mehr gepflegt werden, wird das Upgrade auf 7.0.121307 (Version mit Hotfix) dringend empfohlen.