DFN-CERT-2014-0942 Datenkompression LZ4: Eine Schwachstelle ermöglicht das Erlangen von Administratorrechten [Linux][SuSE]

- 21. Juli 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

openSUSE 12.3
openSUSE 13.1

Betroffene Plattformen:

openSUSE

Durch eine Schwachstelle in der “LZ4_decompress_generic()” Funktion kann ein
lokaler, authentifizierter Angreifer Administratorrechte erlangen.

Patch:

openSUSE Security Update: openSUSE-SU-2014:0924-1

http://lists.opensuse.org/opensuse-updates/2014-07/msg00025.html

CVE-2014-4611: Integer-Überlauf bei Datenkompression

In der “LZ4_decompress_generic()” Funktion kann es bei der Verarbeitung von
null Bytes zu einem Integer-Überlauf kommen, der zu einer Speicherkorruption
führt. Ein lokaler, authentifizierter Benutzer, als Angreifer, kann die
Schwachstelle nutzen, um die Kontrolle über das System zu übernehmen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0942/

Schwachstelle CVE-2014-4611 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4611

openSUSE Security Update: openSUSE-SU-2014:0924-1:
http://lists.opensuse.org/opensuse-updates/2014-07/msg00025.html