UPDATE: DFN-CERT-2014-1095 PHP: Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe und das Ausführen von beliebigem Programmcode [Linux][Windows][Netzwerk]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (31.10.2014):
F5 Networks teilt mit, dass BIG-IP PSM 11.0.0 – 11.4.1 und 10.0.0 – 10.2.4
von den gelisteten Schwachstellen, bis auf CVE-2014-3538 und
CVE-2014-3587, betroffen sind, da sie verwundbaren PHP-Code enthalten; es
werden keine nicht betroffenen Versionen angegeben. Ein Ausnutzen dieser
Schwachstellen sei dennoch unwahrscheinlich, da BIG-IP, BIG-IQ und EM
Maßnahmen zur Vermeidung der Ausnutzbarkeit enthalten.
Version 1 (22.08.2014):
Neues Advisory

Betroffene Software:

PHP <= 5.4.31 PHP <= 5.5.15 Betroffene Plattformen: F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4 F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1 Apple Mac OS X GNU/Linux Microsoft Windows Mehrere Schwachstellen in PHP ermöglichen es einem entfernten und zumeist nicht authentisierten Angreifer, beliebigen Programmcode auszuführen und Denial-of-Service-Angriffe durchzuführen. Patch: PHP Quellcode-Download-Seite http://php.net/downloads.php

Patch:

PHP Windows-Download-Seite

http://windows.php.net/download/

Patch:

F5 Networks Security Advisory sol15761

http://support.f5.com/kb/en-us/solutions/public/15000/700/sol15761.html?ref=rss

CVE-2014-5120: Schwachstelle in PHP erlaubt das Umgehen von
Sicherheitsvorkehrungen

Es wurde eine Schwachstelle in der GD Library von PHP gefunden, die
Dateinamen beim Umgang mit Grafiken fehlerhaft behandelt. Ein entfernter,
nicht authentisierter Angreifer kann die Schwachstelle ausnutzen und unter
Verwendung eines Null Byte langen Dateipfades, beliebige andere Dateien
löschen.

CVE-2014-3597: Schwachstelle in PHP ermöglicht die Ausführung beliebigen
Codes

Es besteht eine Schwachstelle in PHP, die auf eine unzureichende Behebung
der Schwachstelle CVE-2014-4049 zurückzuführen ist. Das Parsen von
veränderten DNS TXT Records kann zu einem Speicherüberlauf führen. Ein
entfernter, nicht authentisierter Angreifer kann als “Man-in-the-Middle”,
mit Hilfe von veränderten DNS TXT Records die Schwachstelle zur Ausführung
von beliebigem Code ausnutzen.

CVE-2014-3587: Schwachstelle in PHP bzw. File ermöglicht Denial-of-Service

Die Funktion “cdf_read_property_info” in cdf.c in File bis einschließlich
Version 5.19, wie verwendet im Modul “fileinfo” in PHP bevor 5.4.32 und
5.5.x bevor 5.5.16, enthält eine Schwachstelle, die darin besteht, dass
Dateien im “Composit-Document” (CDF) Format falsch bearbeitet werden und es
dadurch zu einem Interger-Überlauf kommt. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle, unter Verwendung einer
veränderten CDF-Datei, dazu verwenden, um einen Denial-of-Service-Angriff
(Absturz der Applikation) auszuführen. Diese Schwachstelle existiert
aufgrund eines unvollständigen Fixes für CVE-2012-1571.

CVE-2014-3538: Denial-of-Service-Schwachstelle in File

File vor Version 5.19 beschränkt die Datenmenge während einer “regex” Suche
nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer kann
dadurch eine hohe CPU Last erzeugen und einen Denial-of-Service-Zustand
bewirken. Die Schwachstelle ist durch einen unvollständigen Fix der
Schwachstelle CVE-2013-7345 entstanden.

CVE-2014-4698: Use-after-free-Schwachstelle in PHP5

In PHP bis Version 5.5.14 besteht eine Use-after-free-Schwachstelle in
ext/spl/spl_array.c. Die Schwachstelle kann von einem entfernten, nicht
authentifizierten Angreifer für einen Denial-of-Service-Angriff ausgenutzt
werden.

CVE-2014-4670: Use-after-free-Schwachstelle in PHP5

In PHP bis Version 5.5.14 besteht eine Use-after-free-Schwachstelle in
ext/spl/spl_dllist.c. Die Schwachstelle kann durch einen entfernten, nicht
authentifizierten Angreifer für einen Denial-of-Service-Angriff ausgenutzt
werden.

CVE-2014-2497: Schwachstelle in libgd erlaubt Denial-of-Service

Eine Schwachstelle existiert in der Funktion “gdImageCreateFromXpm” in
gdxpm.c in der Bibliothek “libgd”, welche auch in PHP 5.4.26 und früher
verwendet wird. Diese Schwachstelle erlaubt einem entfernten, nicht
authentisierten Angreifer, mittels einer präparierten Farbtabelle in einer
XPM-Datei, einen Denial-of-Service-Zustand herbeizuführen (“NULL pointer
dereference” und Absturz der Applikation).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1095/

Schwachstelle CVE-2014-2497 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2497

Schwachstelle CVE-2014-3538 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3538

Schwachstelle CVE-2014-4670 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4670

Schwachstelle CVE-2014-4698 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4698

Schwachstelle CVE-2014-3587 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3587

Schwachstelle CVE-2014-3597 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3597

PHP Quellcode-Download-Seite:
http://php.net/downloads.php

PHP Windows-Download-Seite:
http://windows.php.net/download/

PHP 5.4.32 Änderungsinformationen:
http://www.php.net/ChangeLog-5.php#5.4.32

PHP 5.5.16 Änderungsinformationen:
http://php.net/ChangeLog-5.php#5.5.16

Schwachstelle CVE-2014-5120 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5120

F5 Networks Security Advisory sol15761:
http://support.f5.com/kb/en-us/solutions/public/15000/700/sol15761.html?ref=rss

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.