Open Source im professionellen Einsatz

UPDATE: DFN-CERT-2017-1216 nginx: Eine Schwachstelle ermöglicht das Ausspähen von Informationen oder einen Denial-of-Service-Angriff [Linux][Debian]

14.07.2017

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (14.07.2017):
Canonical stellt für Ubuntu Linux 14.04 LTS, 16.04 LTS, 16.10 und 17.04
Sicherheitsupdates für nginx zur Verfügung.
Version 1 (13.07.2017):
Neues Advisory

Betroffene Software:

nginx < 1.12.1
nginx < 1.13.3


Betroffene Plattformen:

Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 16.04 LTS
Canonical Ubuntu Linux 16.10
Canonical Ubuntu Linux 17.04
Debian Linux 8.8 Jessie
Debian Linux 9.0 Stretch



Eine Schwachstelle in nginx ermöglicht einem entfernten, nicht
authentisierten Angreifer mit Hilfe einer speziell präparierten Anfrage
Informationen aus den Kopfdaten zwischengespeicherter Dateien auszuspähen,
wenn nginx mit Standard-Modulen verwendet wird, oder Informationen aus dem
Speicher von 'Worker'-Prozessen auszuspähen oder einen Denial-of-Service
(DoS)-Angriff durchzuführen, wenn Drittanbieter-Module verwendet werden.
Verwundbare Drittanbieter-Module sind derzeit nicht bekannt.

Debian stellt für die vormals stabile Distributionen Jessie sowie die
stabile Distribution Stretch Backport-Sicherheitsupdates bereit.


Patch:

Debian Security Advisory DSA-3908-1

<https://www.debian.org/security/2017/dsa-3908>

Patch:

Ubuntu Security Notice USN-3352-1

<http://www.ubuntu.com/usn/usn-3352-1/>


CVE-2017-7529: Schwachstelle in nginx ermöglicht Ausspähen von Informationen

Im Bereichsfilter-Modul in der Funktion 'ngx_http_range_parse' in nginx
existiert eine Schwachstelle, die ein Angreifer mit Hilfe einer speziell
gestalteten Anfrage ausnutzen kann. Wird nginx mit Standard-Modulen
verwendet, kann ein Angreifer Kopfdateien aus zwischengespeicherten Dateien
erhalten, wenn Antworten aus dem Cache zurückgegeben werden, welche
IP-Adressen von Backend-Servern oder andere sensitive Informationen
enthalten können. Im Kontext von Drittanbieter-Modulen ist es darüber hinaus
möglich Speicher von 'Worker'-Prozessen auszuspähen oder einen
Denial-of-Service (DoS)-Angriff durchzuführen. Informationen zu verwundbaren
Modulen legen derzeit nicht vor. Ein entfernter, nicht authentisierter
Angreifer kann Informationen ausspähen oder einen Denial-of-Service-Angriff
durchführen.


Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
<https://portal.cert.dfn.de/adv/DFN-CERT-2017-1216/>

Schwachstelle CVE-2017-7529 (NVD):
<http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7529>

Debian Security Advisory DSA-3908-1:
<https://www.debian.org/security/2017/dsa-3908>

nginx Security Advisory (CVE-2017-7529):
<http://mailman.nginx.org/pipermail/nginx-announce/2017/000200.html>

Ubuntu Security Notice USN-3352-1:
<http://www.ubuntu.com/usn/usn-3352-1/>


(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.

Ausgabe 09/2017

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.