DFN-CERT-2014-1250 PuTTY: Zwei Schwachstellen ermöglichen u.a. das Ausführen beliebigen Programmcodes [Linux][Fedora]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

PuTTY <= 0.62 Betroffene Plattformen: Extra Packages for Red Hat Enterprise Linux 5 Extra Packages for Red Hat Enterprise Linux 6 Durch zwei Schwachstellen in PuTTY kann ein lokaler, nicht authentifizierter Angreifer Informationen ausspähen. Ein entfernter, nicht authentifizierter Angreifer kann beliebigen Programmcode ausführen. Patch: Fedora Security Update FEDORA-EPEL-2014-2686 https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2686/putty-0.63-3.el5

Patch:

Fedora Security Update FEDORA-EPEL-2014-2713

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2713/putty-0.63-3.el6

CVE-2013-4852: Schwachstelle in PuTTY

In PuTTY kann ein Integer-Überlauf während des initialen SSH-Handshakes
ausgelöst werden, der zu einem Pufferüberlauf im Heap Segment führt. Dieser
Fehler tritt vor der Authentifizierung auf. Ein entfernter Angreifer kann
diese Schwachstelle durch einen manipulierten Server ausnutzen, um beliebige
Befehle mit den Rechten des Benutzers auszuführen. Die Schwachstelle lässt
sich auch im Rahmen eines Man-in-the-Middle-Angriffs ausnutzen.

CVE-2013-4852: Schwachstelle in PuTTY

CVE-2011-4607: Schwachstelle in PuTTY ermöglicht das Ausspähen von
Informationen

PuTTY in den Versionen 0.59 bis einschließlich 0.61 versäumt das sichere
Löschen sensibler Daten aus dem Speicher. Betroffen sind Login-Passwörter
der Keyboard-interactive-Authentifizierung beim SSH-Server, welche als
Standard von den meisten SSH-Servern verwendet wird. Ein lokaler Angreifer
könnte somit durch einen Zugriff auf den Speicher oder die Auslagerungsdatei
des laufenden PuTTY-Prozesses oder durch eine Crash-Dump-Datei, Zugang zu
sensiblen Daten bekommen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1250/

Schwachstelle CVE-2013-4852 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4852

Fedora Security Update FEDORA-EPEL-2014-2686:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2686/putty-0.63-3.el5

Fedora Security Update FEDORA-EPEL-2014-2713:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2713/putty-0.63-3.el6

Schwachstelle CVE-2011-4607 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-4607

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.