—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.

RedHat Bug ID 563220 – Buffer-Overflow durch Fehler in der Bibliothek
libcurl

Wird die Bibliothek libcurl so verwendet, dass sie bei HTTP-Downloads
selbstaendig mit zlib die Nutzdaten entpackt, so koennen mehr Daten an
die aufrufende Anwendung uebergeben werden als in CURL_MAX_WRITE_SIZE
spezifiziert. Dadurch kann ein Buffer-Overflow ausgeloest werden. Ein
entfernter Angreifer kann diese Schwachstelle dazu ausnutzen, die
Anwendung zum Absturz zu bringen oder beliebigen Code mit den Rechten
des Benutzers auszufuehren. Voraussetzung ist, dass die Anwendung dem
Groessenlimit in CURL_MAX_WRITE_SIZE vertraut.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket curl

Fedora 11

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2010-March/037143.html

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Detlev O. Matthies

– —

Detlev O. Matthies, M.Sc. (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen https://www.cert.dfn.de/autowarn

– ——————————————————————————–
Fedora Update Notification
FEDORA-2010-2720
2010-02-24 04:56:10
– ——————————————————————————–

Name : curl
Product : Fedora 11
Version : 7.19.7
Release : 5.fc11
URL : http://curl.haxx.se/
Summary : A utility for getting files from remote servers (FTP, HTTP, and others)
Description :
cURL is a tool for getting files from HTTP, FTP, FILE, LDAP, LDAPS,
DICT, TELNET and TFTP servers, using any of the supported protocols.
cURL is designed to work without user interaction or any kind of
interactivity. cURL offers many useful capabilities, like proxy support,
user authentication, FTP upload, HTTP post, and file transfer resume.

– ——————————————————————————–
Update Information:

http://curl.haxx.se/docs/adv_20100209.html
– ——————————————————————————–
ChangeLog:

* Mon Feb 22 2010 Kamil Dudka 7.19.7-5
– – http://curl.haxx.se/docs/adv_20100209.html (#563240)
* Wed Dec 30 2009 Kamil Dudka 7.19.7-4
– – fix incorrect SSL recv/send timeout handling, patch contributed
by Kevin Baughman
– – http://permalink.gmane.org/gmane.comp.web.curl.library/26302
* Thu Nov 26 2009 Kamil Dudka 7.19.7-3
– – workaround for broken TLS servers (#525496, #527771)
* Thu Nov 12 2009 Kamil Dudka 7.19.7-2
– – use bzip2 compressed tarball for F-11
* Thu Nov 12 2009 Kamil Dudka 7.19.7-1
– – new upstream release, dropped applied patches
– – fix crash on doubly closed NSPR descriptor, patch contributed
by Kevin Baughman (#534176)
* Fri Aug 14 2009 Kamil Dudka 7.19.6-1
– – new upstream release, dropped applied patches
– – changed NSS code to not ignore the value of ssl.verifyhost and produce more
verbose error messages (#516056)
* Wed Jun 10 2009 Kamil Dudka 7.19.4-9
– – avoid unguarded comparison in the spec file, thanks to R P Herrold (#504857)
* Mon May 11 2009 Kamil Dudka 7.19.4-8
– – fix configure.ac to not discard -g in CFLAGS (#496778)
– – fix infinite loop while loading a private key, thanks to Michael Cronenworth
(#453612)
– ——————————————————————————–
References:

[ 1 ] Bug #563220 – curl: zlib-compression causes curl to pass more than CURL_MAX_WRITE_SIZE bytes to write callback
https://bugzilla.redhat.com/show_bug.cgi?id=563220
– ——————————————————————————–

This update can be installed with the “yum” update program. Use
su -c ‘yum update curl’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.

All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)

iD8DBQFLnjD6WmhIvjFb90URAn3PAKCI+usom3fJoCNQ4ODQDl312qrWIQCfT2wD
2S/h/GmOEI1mSpoeSKaKbIQ=
=DYZr
—–END PGP SIGNATURE—–