Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Chrome OS < 38.0.2125.101 Betroffene Plattformen: Chrome OS Mehrere Schwachstellen ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausführen beliebigen Programmcodes. Die GNU Bash Schwachstellen werden mit diesem Update ebenfalls adressiert. Patch: Chrome OS Stable Channel Update, 07.10.2014 http://googlechromereleases.blogspot.de/2014/10/stable-channel-update-for-chrome-os.html

CVE-2014-3188: Entfernte Ausführung von Programmcode in Chrome OS

Eine nicht näher beschriebene Schwachstelle, die auf dem Zusammenspiel von
V8- und IPC-Fehlern beruht, ermöglicht einem entfernten, nicht
authentifizierten Angreifer die Ausführung beliebigen Programmcodes
außerhalb der Sandbox Umgebung.

CVE-2014-7187: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash

Die Funktion read_token_word in parse.y besitzt einen Fehler beim
Speicherzugriff, der durch sehr viele ineinander verschachtelte Schleifen
ausgelöst werden kann. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Programmabsturz herbeizuführen
(Denial-of-Service-Angriff) oder beliebige Befehle auszuführen.

CVE-2014-7186: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash

Die Umleitungsimplementierung in parse.y besitzt einen Fehler beim
Speicherzugriff. Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle ausnutzen, um einen Programmabsturz herbeizuführen
(Denial-of-Service-Angriff) oder beliebige Befehle auszuführen.

CVE-2014-7169: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash

GNU Bash bis Version 4.3 bash43-025 verarbeitet Zeichenketten hinter
bestimmten missgestalteten Funktionsdefinitionen in Umgebungsvariablen. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebige Befehle auszuführen, indem er die Umgebung
entsprechend präpariert.

Diese Schwachstelle existiert, da die Schwachstelle CVE-2014-6271 nur
unzureichend behoben wurde.

CVE-2014-6271: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash

GNU Bash bis Version 4.3 bash43-025 verarbeitet Zeichenketten hinter
bestimmten Funktionsdefinitionen in den Werten von Umgebungsvariablen. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebige Befehle auszuführen, indem er die Umgebung
entsprechend präpariert.

Diese Schwachstelle hat weitreichende Auswirkungen auf Systemen, wo /bin/sh
zu /bin/bash verlinkt wird. Dort wird andere Software wie PHP, OpenSSH,
CGI-Skripte, …, die Funktionen wie popen() oder system() benutzen,
verwundbar für Angriffe über Umgebungvariablen wie z.B. HTTP_*.

Für diese Schwachstelle wurde ein Patch bereitgestellt, der diese
Schwachstelle, jedoch nicht vollständig, behebt und der möglicherweise die
Kompatibilität von bestehenden Shell-Skripten beeinträchtigt.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1307/

Schwachstelle CVE-2014-6271 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271

Schwachstelle CVE-2014-7169 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7169

Schwachstelle CVE-2014-7186 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7186

Schwachstelle CVE-2014-7187 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7187

Chrome OS Stable Channel Update, 07.10.2014:
http://googlechromereleases.blogspot.de/2014/10/stable-channel-update-for-chrome-os.html

Schwachstelle CVE-2014-3188 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3188

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.