Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
OpenSSL Project OpenSSL
Betroffene Plattformen:
SUSE Manager 1.7 for SLE 11 SP2
SUSE Studio Onsite 1.3
Mehrere Schwachstellen in OpenSSL erlauben einem entfernten, nicht
authentifizierten Angreifer die Durchführung von Denial-of-Service-Angriffen
und das Umgehen von Sicherheitsvorkehrungen. Ein authentifizierter Angreifer
im benachbarten Netzwerk kann außerdem sensible Informationen ausspähen.
Patch:
SUSE Security Update: SUSE-SU-2014:1208-1
https://www.suse.com/support/update/announcement/2014/suse-su-20141208-1.html
CVE-2014-3510: Schwachstelle in OpenSSL: “DTLS Anonymous EC(DH)
Denial-of-Service”
Eine Schwachstelle besteht, wenn OpenSSL DTLS-Clients anonyme (EC)DH
Ciphersuites zulassen. Ein entfernter, nicht authentisierter Angreifer, der
einen Server kontrolliert, kann diese Schwachstelle ausnutzen, indem er
sorgfältig präparierte Handshake-Nachrichten, welche solche anonymen (EC)DH
Ciphersuites spezifizieren, durch den Server an den Client zurückgeben
lässt, um den Client mit einer Null-Pointer-Dereferenz (read) zum Absturz zu
bringen, d.h. somit einen Denial-of-Service-Angriff durchzuführen. Nutzer
von OpenSSL 0.9.8 DTLS Clients sollten die aktualisierte Version 0.9.8zb,
von OpenSSL 1.0.0 DTLS Clients die aktualisierte Version 1.0.0n und von
OpenSSL 1.0.1 DTLS Clients die aktualisierte Version 1.0.1i installieren.
CVE-2014-3508: Schwachstelle in OpenSSL: Informationsleck in der
Pretty-Printing-Funktion
Eine Schwachstelle in OBJ_obj2txt führt dazu, dass
Pretty-Printing-Funktionen, wie beispielsweise X509_name_oneline,
X509_name_print_ex und andere bestimmte Informationen vom Stack-Speicher
ausgeben. Ein sich im benachbarten Netzwerk befindlicher, authentisierter
Benutzer, als Angreifer, kann diese Schwachstelle ausnutzen, um
möglicherweise sensible Informationen auszuspähen. OpenSSL SSL/TLS-Clients
und -Server selbst sind nicht betroffen. Nutzer von Anwendungen, welche
Pretty-Printing-Output ausgeben, sollten OpenSSL 0.9.8 auf Version 0.9.8zb,
OpenSSL 1.0.0 auf Version 1.0.0n und OpenSSL 1.0.1 auf Version 1.0.1i
aktualisieren.
CVE-2014-3507: Schwachstelle in OpenSSL: DTLS-Speicherleck von
Null-Längen-Fragmenten
Eine Schwachstelle besteht darin, dass bei der Verarbeitung von DTLS-Paketen
unter bestimmten Umständen Speicher belegt, aber weder verwendet noch
freigegeben wird (“memory leak”, Speicherleck). Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, indem er
sorgfältig präparierte DTLS-Pakete sendet, um einen
Denial-of-Service-Angriff durchzuführen. Anwender von OpenSSL 0.9.8 DTLS
sollten die aktualisierte Version 0.9.8zb, von OpenSSL 1.0.0 DTLS die
aktualisierte Version 1.0.0n und von OpenSSL 1.0.1 DTLS die aktualisierte
Version 1.0.1i installieren.
CVE-2014-3506: Schwachstelle in OpenSSL: DTLS “Memory Exhaustion”
Eine Schwachstelle besteht darin, dass bei der Verarbeitung von
DTLS-Handshake-Nachrichten Speicher verschwendet wird. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, um in großem
Umfang Speicher belegen zu lassen und dadurch einen Absturz von OpenSSL
herbeizuführen, d.h. somit einen Denial-of-Service-Angriff durchzuführen.
Anwender von OpenSSL 0.9.8 DTLS sollten die aktualisierte Version 0.9.8zb,
von OpenSSL 1.0.0 DTLS die aktualisierte Version 1.0.0n und von OpenSSL
1.0.1 DTLS die aktualisierte Version 1.0.1i installieren.
CVE-2014-3505: Schwachstelle in OpenSSL: “Double-Free” bei Verarbeitung von
DTLS-Paketen
Eine Schwachstelle besteht darin, dass bei der Verarbeitung von DTLS-Paketen
der Speicher zweifach freigegeben wird. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, um einen
Fehlerzustand zu verursachen und dadurch einen Absturz von OpenSSL
herbeizuführen, d.h. somit einen Denial-of-Service-Angriff durchzuführen.
Anwender von OpenSSL 0.9.8 DTLS sollten die aktualisierte Version 0.9.8zb,
von OpenSSL 1.0.0 DTLS die aktualisierte Version 1.0.0n und von OpenSSL
1.0.1 DTLS die aktualisierte Version 1.0.1i installieren.
CVE-2014-3470: Schwachstelle in OpenSSL erlaubt Denial-of-Service
Eine Schwachstelle in OpenSSL besteht in einer fehlerhaften Behandlung von
anonymen EDH-Ciphersuiten. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um OpenSSL zum Absturz zu bringen, d. h.
einen Denial-of-Service-Angriff durchzuführen.
CVE-2014-0224: Schwachstelle in OpenSSL erlaubt Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in OpenSSL besteht in einer fehlerhaften Behandlung
bestimmter Handshakes. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle ausnutzen, um einen Man-in-the-middle-Angriff
durchzuführen und möglicherweise verschlüsselten Netzwerkverkehr
entschlüsseln und verändern.
CVE-2014-0221: Schwachstelle in OpenSSL erlaubt Denial-of-Service
Eine Schwachstelle in OpenSSL besteht in einer fehlerhaften Behandlung von
DTLS-Rekursionen. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, um OpenSSL zum Absturz zu bringen, d. h. einen
Denial-of-Service-Angriff durchzuführen.
CVE-2014-0076: Schwachstelle in OpenSSL
Innerhalb der “Montgomery ladder”-Implementierung von openssl ist ein
konstantes Zeitverhalten der Swap-Operationen nicht garantiert. Ein
entfernter, nicht authentifizierter Angreifer kann mittels eines sogenannten
“Flush + Reload” Cache Side-Channel-Angriffs ECDSA Nonce-Werte
wiederherstellen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1265/
Schwachstelle CVE-2014-0076 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0076
Schwachstelle CVE-2014-0221 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0221
Schwachstelle CVE-2014-0224 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0224
Schwachstelle CVE-2014-3470 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3470
Schwachstelle CVE-2014-3505 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3505
Schwachstelle CVE-2014-3506 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3506
Schwachstelle CVE-2014-3507 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3507
Schwachstelle CVE-2014-3508 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3508
Schwachstelle CVE-2014-3510 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3510
SUSE Security Update: SUSE-SU-2014:1208-1:
https://www.suse.com/support/update/announcement/2014/suse-su-20141208-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
