Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 16 (18.11.2014):
Neue Sicherheitsupdates von bash Shift_JIS Paketen werden von Red Hat für
Enterprise Linux 5.9 EUS zur Verfügung gestellt.
Version 15 (20.10.2014):
Von VMware werden erneut weitere Sicherheitsupdates bereitgestellt. Für
openSUSE 13.1 und 12.3 werden neuere Sicherheitsupdates angeboten, die
eigene Patches durch die offiziellen bis Version bash42-053 ersetzen und
zwei neue Patches für OpenSUSE 13.1 für die Schwachstellen CVE-2014-6277
und CVE-2014-6278 mitbringen.
Version 14 (14.10.2014):
Für SUSE Studio Onsite 1.3 stehen Sicherheitsupdates bereit. Für openSUSE
13.1 und 12.3 wird eine Regression behoben.
Version 13 (14.10.2014):
Von VMware werden weitere Sicherheitsupdates angeboten, die unter der
bekannten URL auffindbar sind.
Version 12 (09.10.2014):
Für Ubuntu 10.04 LTS, 12.04 LTS und 14.04 LTS stehen neue
Sicherheitsupdates bereit.
Version 11 (08.10.2014):
F5 Networks stellt für BIG-IP PSM ein Sicherheitsupdate 11.4.1 HF5 zur
Verfügung, wie auch für eine Reihe anderer Produkte.
Version 10 (07.10.2014):
VMware stellt weitere Patches unter der bekannten URL bereit. Juniper
veröffentlicht für die NSM Appliance mit einer CentOS 4 Basisinstallation
ein Sicherheitsupdate.
Version 9 (06.10.2014):
Für Red Hat Enterprise Virtualization 3.4, Fedora 20 und VMware stehen
weitere Patches bereit.
Version 8 (02.10.2014):
Juniper und VMware stellen aktualisierte Informationen zur Verfügung.
Version 7 (01.10.2014):
Die Schwachstelle CVE-2014-6278 wurde in das Advisory aufgenommen. VMware,
SUSE, Juniper und Cisco stellen (aktualisierte) Informationen bereit.
Version 6 (30.09.2014):
Für Mac OS x und den SUSE Manager 1.7 für SLE 11 SP2 stehen
Sicherheitsupdates zur Verfügung.
Version 5 (29.09.2014):
Es sind weitere Schwachstellen in Bash gefunden worden, die von
verschiedenen Herstellern adressiert werden.
Version 4 (26.09.2014):
Cisco veröffentlicht ein Security Advisory.
Version 3 (26.09.2014):
Informationen von SUSE und Fedora ergänzt.
Version 2 (26.09.2014):
Juniper Networks, IBM, F5 Networks, Canonical, Debian und Red Hat stellen
neue Informationen bereit.
Version 1 (25.09.2014):
Neues Advisory
Betroffene Software:
Bash <= 4.3-026
SUSE Manager 1.7 for SLE 11 SP2
Betroffene Plattformen:
Cisco Application Control Engine Software
Cisco Application Policy Infrastructure Controller
Cisco ASA CX
Cisco Identity Service Engine
Cisco Intrusion Prevention System
Cisco Unified Communications Manager
WebEx Meetings Server
Cisco Wide Area Application Services (WAAS)
F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4
F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1
Juniper Junos Space
Juniper Security Threat Response Manager (STRM)
SUSE Software Development Kit 11 SP3 Enterprise
SUSE Software Development Kit 12 Enterprise
SUSE Manager 1.7 for SLE 11 SP2
Redhat Enterprise Virtualization 3.4
SUSE Studio Onsite 1.3
VMware Data Recovery
VMware Horizon Workspace
VMware NSX-V
VMWare NVP 3.x
VMware vCloud Automation Center (vCAC) 6.x
VMware vCenter Converter Standalone
VMware vCenter Operations
VMware vCenter Orchestrator
VMware vCenter Server Appliance
VMware vCloud Networking and Security (vCNS) 5.x
Cisco ASR 1000 Router
Cisco Identity Services Engine
Cisco MDS
Cisco Nexus 1000V
Cisco Nexus 3000
Cisco Nexus 4000
Cisco Nexus 5000
Cisco Nexus 7000
Cisco Nexus 9000
Cisco Secure Access Control Server (ACS)
Cisco Telepresence Endpoints
Cisco TelePresence Video Communication Server
Cisco Unified Computing System
Juniper Junos Space Appliance JA1500
Juniper Junos Space Appliance JA2500
Juniper Network and Security Manager Appliance NSM3000
Juniper Network and Security Manager Appliance NSMXpress
Juniper Secure Access
Apple Mac OS X 10.7.5
Apple Mac OS X 10.8.5
Apple Mac OS X 10.9.5
Apple Mac OS X Server 10.7.5
Canonical Ubuntu Linux 10.04 Lts
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Cisco IOS XE
Cisco MDS 9000
Debian Linux 7.6 Wheezy
GNU/Linux
openSUSE 12.3
openSUSE 13.1
openSUSE 13.2
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Server 10 SP3 LTSS
SUSE Linux Enterprise Server 10 SP4 LTSS
SUSE Linux Enterprise Server 11 SP1 LTSS
SUSE Linux Enterprise Server 11 SP2
SUSE Linux Enterprise Server 11 SP2 LTSS
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 VMware
SUSE Linux Enterprise Server 12
Oracle Solaris 8
Oracle Solaris 9
Oracle Solaris 10
Oracle Solaris 11
Oracle Linux 4
Oracle Linux 5
Oracle Linux 6
Oracle Linux 7
Red Hat Enterprise Linux 4 Extended Life Cycle Support
Red Hat Enterprise Linux 5
Red Hat Enterprise Linux 5.9 EUS
Red Hat Enterprise Linux 6
Red Hat Enterprise Linux Desktop 5 Client
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux Server 5
Red Hat Enterprise Linux Server 5.6 Long Life
Red Hat Enterprise Linux Server 5.9 Long Life
Red Hat Enterprise Linux Server 5.9.z EUS
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server 6.2 AUS
Red Hat Enterprise Linux Server 6.4 AUS
Red Hat Enterprise Linux Server 6.4.z EUS
Red Hat Enterprise Linux Server 6.5 AUS
Red Hat Enterprise Linux Server 6.5.z EUS
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation 7
Red Hat Fedora 19
Red Hat Fedora 20
Red Hat Fedora 21
VMware ESX 4.0
VMware ESX 4.1
Mehrere Schwachstellen in GNU Bash ermöglichen einem entfernten, nicht
authentifizierten Angreifer, beliebigen Programmcode zur Ausführung zu
bringen.
Die Schwachstelle CVE-2014-6271 wurde durch einen Patch bisher nur
unzureichend gefixt und die GNU Bash ist weiterhin verwundbar. Daher wurde
die Schwachstelle CVE-2014-7169 angelegt, für die ein Patch in Kürze
erwartet wird. Bis ein umfassendes Sicherheitsupdate verfügbar ist, kann ein
von Red Hat veröffentlichter Workaround angewendet werden, die Referenz
darauf findet sich anbei.
Update 1: Juniper Networks informiert über die Verwundbarkeit von Junos
Space in allen Versionen, der Junos Space Appliance JA1500 und JA2500, sowie
der Juniper Secure Access Serie mit Security Threat Response Manager (STRM).
Aktuell wird noch an der Bereitstellung von Sicherheitsupdates gearbeitet,
die dann über das Advisory (Referenz anbei) veröffentlicht werden.
IBM hat noch keine Informationen zu den betroffenen Produkten
veröffentlicht, sondern stellt nur die angegebene Referenz zur Verfügung,
über die weitere Erkenntnisse veröffentlicht werden sollen.
F5 Networks informiert über die Angreifbarkeit aller BIG-IP PSM Versionen
und weiterer F5 Networks Produkte. Zur Zeit ist kein Sicherheitsupdate
verfügbar, als Mitigation ist derzeit nur eine Einschränkung des
Systemzugriffs möglich.
Für die Distributionen Ubuntu 10.04 LTS, Ubuntu 12.04 LTS, Ubuntu 14.04 LTS,
Debian Wheezy und verschiedene Red Hat Enterprise Linux 5, 6 und 7 Produkte
stehen weitere Sicherheitsupdates zur Verfügung, welche jetzt auch die
Schwachstelle CVE-2014-7169 beheben.
Update 2: Für verschiedene SUSE Versionen stehen Sicherheitsupdates bereit,
die allerdings nur die Schwachstelle CVE-2014-6271 adressieren.
Für die Distributionen Fedora 19 und Fedora 20 stehen Sicherheitsupdates für
die Schwachstelle CVE-2014-7169 bereit.
Update 3: Cisco veröffentlicht ein Security Advisory mit Informationen über
verwundbare, nicht verwundbare und noch in der Analyse befindliche Systeme.
Das Advisory wird kontinuierlich an die aktuellen Ergebnisse angepasst, die
Liste, der verwundbaren und auch hier genannten Systeme, ist nicht
abschließend.
Update 4: Die andauernden Analysen haben gezeigt, dass neben den bisher
bekannten Schwachstellen CVE-2014-6271 und CVE-2014-7169 noch weitere
Schwachstellen in Bash vorhanden sind, denen die folgenden
Schwachstellen-IDs zugeordnet wurden, die ebenfalls in diese Meldung
aufgenommen wurden: CVE-2014-6277, CVE-2014-7186 und CVE-2014-7187.
Von den Herstellern gibt es die folgenden Updates:
Die Network and Security Manager Appliance von Juniper ist ebenfalls
verwundbar. Für JSA und STRM stellt Juniper Sicherheitsupdates zur Behebung
der Schwachstelle CVE-2014-6271 zur Verfügung.
Cisco hat weitere betroffene Produkte identifiziert.
Für OpenSUSE 12.3, 13.1 und 13.2 sowie verschiedene SUSE Enterprise Linux
Distributionen stehen nun Sicherheitsupdates bereit, die auch die
Schwachstellen CVE-2014-7169, CVE-2014-7186 und CVE-2014-7187 beheben.
Red Hat stellt ebenfalls für diverse RHEL Distributionen Patches zur
Verfügung, die im Vergleich zu den vorherigen Updates, zusätzlich die
Schwachstellen CVE-2014-6277 und CVE-2014-7186 beheben.
Fedora stellt für die Distribution Fedora 21 einen Patch für die
Schwachstelle CVE-2014-7169 zur Verfügung.
Oracle behebt für Solaris und Oracle Linux die Schwachstelle CVE-2014-7169
(und damit auch CVE-2014-6271).
Canonical behebt für Ubuntu 10.04 LTS, 12.04 LTS und 14.04 LTS zusätzlich
die Schwachstellen CVE-2014-7186 und CVE-2014-7187.
Update 5: Apple stellt für die Mac OS X Versionen OS X Lion v10.7.5, OS X
Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5 ein
Update für die GNU Bash zum Download bereit und behebt damit die
Schwachstellen CVE-2014-6271 und CVE-2014-7169.
Weiterhin steht für SUSE Linux Enterprise 11 SP2 nun ein Update für den SUSE
Manager 1.7 zur Verfügung, der die Schwachstellen CVE-2014-6271,
CVE-2014-7169, CVE-2014-7186 und CVE-2014-7187 bereinigt.
Update 6: Die Sicherheitslücken in der Bash sind nach wie vor nicht
vollständig bereinigt. Um die Probleme, die aufgrund der unzureichenden
Behebung der Schwachstellen CVE-2014-6271, CVE-2014-7169 und CVE-2014-6277
existieren, zu bündeln, wurde diesen eine weitere
Schwachstellenkennzeichnung CVE-2014-6278 zugeordnet, welche jetzt ebenfalls
in diese Meldung aufgenommen wurde.
Updates der Hersteller:
Für Juniper NSM Appliances und Junos Space stehen nun Sicherheitsupdates
bereit.
Für SUSE Linux Enterprise wurden für Software Development Kit 12, Desktop
12 und Server 12 Patches für die Schwachstellen CVE-2014-6271,
CVE-2014-7169, CVE-2014-7186 und CVE-2014-7187 veröffentlicht.
VMware hat zahlreiche Produkte identifiziert, die von den Schwachstellen
betroffen sind. Der Hersteller arbeitet zur Zeit an Updates für diese
Produkte. Die Liste der Produkte und Patches ist nicht abschließend und wird
kontinuierlich überarbeitet.
Auch Cisco hat die Liste der betroffenen Produkte erneut überarbeitet.
Update 7:
Juniper bietet Sicherheitsupdates für die JSA/STRM Series und die IDP Series
an. VMware hat sein Hersteller-Advisory (siehe Referenz) gleich zweimal
überarbeitet und listet nun verfügbare Patches für eine Reihe von Produkten
auf. Außerdem gibt VMware bekannt, dass die mit in das Hersteller-Advisory
aufgenommen Schwachstellen CVE-2014-6277 und CVE-2014-6278 ebenfalls von den
zur Verfügung stehenden Patches behoben werden.
Update 8: Für Red Hat Enterprise Virtualization 3.4 steht ein
Sicherheitsupdate bereit, welches die Schwachstellen CVE-2014-6271,
CVE-2014-7169, CVE-2014-7186 und CVE-2014-7187 behebt.
VMware stellt unter der bekannten Referenz weitere Informationen zu
verfügbaren Sicherheitsupdates bereit.
Für Fedora 20 steht ein zusätzliches Sicherheitsupdate zur Verfügung.
Update 9: VMware stellt weitere Patches unter der bekannten URL bereit.
Juniper veröffentlicht für die Network and Security Manager Appliance mit
einer CentOS 4 Basisinstallation ein Sicherheitsupdate.
Update 10: F5 Networks stellt für BIG-IP Protocol Security Module ein
Sicherheitsupdate 11.4.1 HF5 zur Verfügung, wie auch für eine Reihe anderer
Produkte.
Update 11: Für Ubuntu 10.04 LTS, 12.04 LTS und 14.04 LTS stehen neue
Sicherheitsupdates bereit.
Update 12: Von VMware werden weitere Sicherheitsupdates angeboten, die unter
der bekannten URL auffindbar sind.
Update 13: Für SUSE Studio Onsite 1.3 stehen Sicherheitsupdates bereit,
welche die Schwachstellen CVE-2014-6271, CVE-2014-6277, CVE-2014-6278,
CVE-2014-7169 beheben. Für openSUSE 13.1 und 12.3 wird eine Regression
behoben, die durch die letzten Bash-Sicherheitsupdates eingeführt worden
war.
Update 14: Von VMware werden erneut weitere Sicherheitsupdates
bereitgestellt. Für openSUSE 13.1 und 12.3 werden neuere Sicherheitsupdates
angeboten, die eigene Patches durch die offiziellen bis Version bash42-053
ersetzen und zwei neue Patches für OpenSUSE 13.1 für die Schwachstellen
CVE-2014-6277 und CVE-2014-6278 mitbringen.
Update 15: Neue Sicherheitsupdates von bash Shift_JIS Paketen werden von Red
Hat für Enterprise Linux 5.9 EUS zur Verfügung gestellt.
Patch:
Debian Security Advisory DSA-3032-1
https://www.debian.org/security/2014/dsa-3032
Patch:
Fedora Security Update FEDORA-2014-11503
https://admin.fedoraproject.org/updates/FEDORA-2014-11503/bash-4.2.47-2.fc19
Patch:
Red Hat Security Advisory RHSA-2014:1293
http://rhn.redhat.com/errata/RHSA-2014-1293.html
Patch:
Red Hat Security Advisory RHSA-2014:1294
http://rhn.redhat.com/errata/RHSA-2014-1294.html
Patch:
Red Hat Security Advisory RHSA-2014:1295
http://rhn.redhat.com/errata/RHSA-2014-1295.html
Patch:
SUSE Security Update SUSE-SU-2014:1212-1
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00028.html
Patch:
SUSE Security Update SUSE-SU-2014:1213-1
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00029.html
Patch:
SUSE Security Update SUSE-SU-2014:1214-1
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00030.html
Patch:
Ubuntu Security Notice USN-2362-1
http://www.ubuntu.com/usn/usn-2362-1/
Patch:
Cisco Security Advisory cisco-sa-20140926-bash
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140926-bash
Patch:
Debian Security Advisory DSA-3035-1
https://www.debian.org/security/2014/dsa-3035
Patch:
F5 Networks Security Advisory sol15629
http://support.f5.com/kb/en-us/solutions/public/15000/600/sol15629.html?ref=rss
Patch:
Fedora Security Update FEDORA-2014-11514
https://admin.fedoraproject.org/updates/FEDORA-2014-11514/bash-4.2.48-2.fc19
Patch:
Fedora Security Update FEDORA-2014-11527
https://admin.fedoraproject.org/updates/FEDORA-2014-11527/bash-4.2.48-2.fc20
Patch:
Juniper Networks Security Advisory JSA10648
http://kb.juniper.net/index?page=content&id=JSA10648&actp=RSS
Patch:
Lotus-ADV Bash Schwachstellen
Patch:
Red Hat Security Advisory RHSA-2014:1306
http://rhn.redhat.com/errata/RHSA-2014-1306.html
Patch:
SUSE Security Update: SUSE-SU-2014:1213-1
https://www.suse.com/support/update/announcement/2014/suse-su-20141213-1.html
Patch:
SUSE Security Update: SUSE-SU-2014:1214-1
https://www.suse.com/support/update/announcement/2014/suse-su-20141214-1.html
Patch:
Ubuntu Security Notice USN-2363-1
http://www.ubuntu.com/usn/usn-2363-1/
Patch:
Ubuntu Security Notice USN-2363-2
http://www.ubuntu.com/usn/usn-2363-2/
Patch:
SuSE Hersteller-Advisory openSUSE-SU-2014:1229-1
http://lists.opensuse.org/opensuse-updates/2014-09/msg00039.html
Patch:
SuSE Hersteller-Advisory openSUSE-SU-2014:1242-1
http://lists.opensuse.org/opensuse-updates/2014-09/msg00052.html
Patch:
Fedora Security Update FEDORA-2014-11718
https://admin.fedoraproject.org/updates/FEDORA-2014-11718/bash-4.3.25-2.fc21
Patch:
Oracle Security Alert für Bash CVE-2014-6271 und CVE-2014-7169
http://www.oracle.com/technetwork/topics/security/alert-cve-2014-7169-2303276.html
Patch:
Red Hat Security Advisory RHSA-2014-1311
https://rhn.redhat.com/errata/RHSA-2014-1311.html
Patch:
Red Hat Security Advisory RHSA-2014-1312
https://rhn.redhat.com/errata/RHSA-2014-1312.html
Patch:
SUSE Security Update SUSE-SU-2014:1247-1
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00042.html
Patch:
Ubuntu Security Notice USN-2364-1
http://www.ubuntu.com/usn/usn-2364-1/
Patch:
openSUSE Security Update openSUSE-SU-2014:1254-1
http://lists.opensuse.org/opensuse-updates/2014-09/msg00063.html
Patch:
openSUSE Security Update: openSUSE-SU-2014:1226-1
http://lists.opensuse.org/opensuse-updates/2014-09/msg00036.html
Patch:
Apple Hersteller Advisory Apple-ADV-HT6495
http://support.apple.com/kb/HT6495
Patch:
SUSE Security Advisory SUSE-SU-2014:1247-2
https://www.suse.com/support/update/announcement/2014/suse-su-20141247-2.html
Patch:
SUSE Security Update SUSE-SU-2014:1223-1
https://www.suse.com/support/update/announcement/2014/suse-su-20141223-1.html
Patch:
SUSE Security Update SUSE-SU-2014:1247-2
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00046.html
Patch:
SUSE Security Update SUSE-SU-2014:1259-1
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00048.html
Patch:
SUSE Security Update SUSE-SU-2014:1260-1
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00049.html
Patch:
VMware Security Advisory VMSA-2014-0010.13
https://www.vmware.com/security/advisories/VMSA-2014-0010.html
Patch:
Fedora Security Update FEDORA-2014-12202
https://admin.fedoraproject.org/updates/FEDORA-2014-12202/bash-4.2.51-2.fc20
Patch:
Red Hat Security Advisory RHSA-2014:1354
http://rhn.redhat.com/errata/RHSA-2014-1354.html
Patch:
Ubuntu Security Notice USN-2380-1
http://www.ubuntu.com/usn/usn-2380-1/
Patch:
SUSE Security Advisory SUSE-SU-2014:1287
http://lists.opensuse.org/opensuse-security-announce/2014-10/msg00004.html
Patch:
openSUSE Recommended Update openSUSE-RU-2014:1289
http://lists.opensuse.org/opensuse-updates/2014-10/msg00013.html
Patch:
OpenSUSE Security Update openSUSE-SU-2014:1308-1
http://lists.opensuse.org/opensuse-updates/2014-10/msg00023.html
Patch:
OpenSUSE Security Update openSUSE-SU-2014:1310-1
http://lists.opensuse.org/opensuse-updates/2014-10/msg00025.html
Patch:
Red Hat Security Update RHSA-2014:1865
http://rhn.redhat.com/errata/RHSA-2014-1865.html
CVE-2014-6278: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash
GNU Bash bis Version 4.3 bash43-026 verarbeitet bestimmte
Funktionsdefinitionen in Umgebungsvariablen nicht korrekt, wodurch
ausnutzbare Speicherzugriffsfehler entstehen. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um beliebige
Befehle auszuführen, indem er die Umgebung entsprechend präpariert.
Diese Schwachstelle existiert, da die Schwachstellen CVE-2014-6271,
CVE-2014-7169 und CVE-2014-6277 nur unzureichend behoben wurden.
CVE-2014-7187: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash
Die Funktion read_token_word in parse.y besitzt einen Fehler beim
Speicherzugriff, der durch sehr viele ineinander verschachtelte Schleifen
ausgelöst werden kann. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Programmabsturz herbeizuführen
(Denial-of-Service-Angriff) oder beliebige Befehle auszuführen.
CVE-2014-7186: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash
Die Umleitungsimplementierung in parse.y besitzt einen Fehler beim
Speicherzugriff. Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle ausnutzen, um einen Programmabsturz herbeizuführen
(Denial-of-Service-Angriff) oder beliebige Befehle auszuführen.
CVE-2014-6277: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash
GNU Bash bis Version 4.3 bash43-026 verarbeitet bestimmte
Funktionsdefinitionen in Umgebungsvariablen nicht korrekt, wodurch
ausnutzbare Speicherzugriffsfehler entstehen. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um beliebige
Befehle auszuführen, indem er die Umgebung entsprechend präpariert.
Diese Schwachstelle existiert, da die Schwachstellen CVE-2014-6271 und
CVE-2014-7169 nur unzureichend behoben wurden.
CVE-2014-7169: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash
GNU Bash bis Version 4.3 bash43-025 verarbeitet Zeichenketten hinter
bestimmten missgestalteten Funktionsdefinitionen in Umgebungsvariablen. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebige Befehle auszuführen, indem er die Umgebung
entsprechend präpariert.
Diese Schwachstelle existiert, da die Schwachstelle CVE-2014-6271 nur
unzureichend behoben wurde.
CVE-2014-6271: Schwachstelle in der Behandlung von Umgebungsvariablen in GNU
Bash
GNU Bash bis Version 4.3 bash43-025 verarbeitet Zeichenketten hinter
bestimmten Funktionsdefinitionen in den Werten von Umgebungsvariablen. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebige Befehle auszuführen, indem er die Umgebung
entsprechend präpariert.
Diese Schwachstelle hat weitreichende Auswirkungen auf Systemen, wo /bin/sh
zu /bin/bash verlinkt wird. Dort wird andere Software wie PHP, OpenSSH,
CGI-Skripte, …, die Funktionen wie popen() oder system() benutzen,
verwundbar für Angriffe über Umgebungvariablen wie z.B. HTTP_*.
Für diese Schwachstelle wurde ein Patch bereitgestellt, der diese
Schwachstelle, jedoch nicht vollständig, behebt und der möglicherweise die
Kompatibilität von bestehenden Shell-Skripten beeinträchtigt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1258/
Debian Security Advisory DSA-3032-1:
https://www.debian.org/security/2014/dsa-3032
Fedora Security Update FEDORA-2014-11503:
https://admin.fedoraproject.org/updates/FEDORA-2014-11503/bash-4.2.47-2.fc19
Red Hat Security Advisory RHSA-2014:1293:
http://rhn.redhat.com/errata/RHSA-2014-1293.html
Red Hat Security Advisory RHSA-2014:1294:
http://rhn.redhat.com/errata/RHSA-2014-1294.html
Red Hat Security Advisory RHSA-2014:1295:
http://rhn.redhat.com/errata/RHSA-2014-1295.html
SUSE Security Update SUSE-SU-2014:1212-1:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00028.html
SUSE Security Update SUSE-SU-2014:1213-1:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00029.html
SUSE Security Update SUSE-SU-2014:1214-1:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00030.html
Ubuntu Security Notice USN-2362-1:
http://www.ubuntu.com/usn/usn-2362-1/
Red Hat Workaround für GNU Bash Schwachstelle CVE-2014-6271:
https://access.redhat.com/articles/1200223
Schwachstelle CVE-2014-6271 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271
Schwachstelle CVE-2014-7169 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7169
Cisco Security Advisory cisco-sa-20140926-bash:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140926-bash
Debian Security Advisory DSA-3035-1:
https://www.debian.org/security/2014/dsa-3035
F5 Networks Security Advisory sol15629:
http://support.f5.com/kb/en-us/solutions/public/15000/600/sol15629.html?ref=rss
Fedora Security Update FEDORA-2014-11514:
https://admin.fedoraproject.org/updates/FEDORA-2014-11514/bash-4.2.48-2.fc19
Fedora Security Update FEDORA-2014-11527:
https://admin.fedoraproject.org/updates/FEDORA-2014-11527/bash-4.2.48-2.fc20
Juniper Networks Security Advisory JSA10648:
http://kb.juniper.net/index?page=content&id=JSA10648&actp=RSS
Lotus-ADV Bash Schwachstellen:
https://www-304.ibm.com/connections/blogs/PSIRT/entry/bash_vulnerable_to_cve_2014_6271_and_cve_2014_7169?lang=en_us
Red Hat Security Advisory RHSA-2014:1306:
http://rhn.redhat.com/errata/RHSA-2014-1306.html
SUSE Security Update: SUSE-SU-2014:1213-1:
https://www.suse.com/support/update/announcement/2014/suse-su-20141213-1.html
SUSE Security Update: SUSE-SU-2014:1214-1:
https://www.suse.com/support/update/announcement/2014/suse-su-20141214-1.html
Ubuntu Security Notice USN-2363-1:
http://www.ubuntu.com/usn/usn-2363-1/
Ubuntu Security Notice USN-2363-2:
http://www.ubuntu.com/usn/usn-2363-2/
SuSE Hersteller-Advisory openSUSE-SU-2014:1229-1:
http://lists.opensuse.org/opensuse-updates/2014-09/msg00039.html
SuSE Hersteller-Advisory openSUSE-SU-2014:1242-1:
http://lists.opensuse.org/opensuse-updates/2014-09/msg00052.html
Fedora Security Update FEDORA-2014-11718:
https://admin.fedoraproject.org/updates/FEDORA-2014-11718/bash-4.3.25-2.fc21
Oracle Security Alert für Bash CVE-2014-6271 und CVE-2014-7169:
http://www.oracle.com/technetwork/topics/security/alert-cve-2014-7169-2303276.html
Red Hat Security Advisory RHSA-2014-1311:
https://rhn.redhat.com/errata/RHSA-2014-1311.html
Red Hat Security Advisory RHSA-2014-1312:
https://rhn.redhat.com/errata/RHSA-2014-1312.html
SUSE Security Update SUSE-SU-2014:1247-1:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00042.html
Ubuntu Security Notice USN-2364-1:
http://www.ubuntu.com/usn/usn-2364-1/
openSUSE Security Update openSUSE-SU-2014:1254-1:
http://lists.opensuse.org/opensuse-updates/2014-09/msg00063.html
openSUSE Security Update: openSUSE-SU-2014:1226-1:
http://lists.opensuse.org/opensuse-updates/2014-09/msg00036.html
Schwachstelle CVE-2014-6277 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6277
Schwachstelle CVE-2014-7186 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7186
Schwachstelle CVE-2014-7187 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7187
Apple Hersteller Advisory Apple-ADV-HT6495:
http://support.apple.com/kb/HT6495
SUSE Security Advisory SUSE-SU-2014:1247-2:
https://www.suse.com/support/update/announcement/2014/suse-su-20141247-2.html
SUSE Security Update SUSE-SU-2014:1223-1:
https://www.suse.com/support/update/announcement/2014/suse-su-20141223-1.html
SUSE Security Update SUSE-SU-2014:1247-2:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00046.html
Schwachstelle CVE-2014-6278 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6278
SUSE Security Update SUSE-SU-2014:1259-1:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00048.html
SUSE Security Update SUSE-SU-2014:1260-1:
http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00049.html
VMware Security Advisory VMSA-2014-0010.13:
https://www.vmware.com/security/advisories/VMSA-2014-0010.html
Fedora Security Update FEDORA-2014-12202:
https://admin.fedoraproject.org/updates/FEDORA-2014-12202/bash-4.2.51-2.fc20
Red Hat Security Advisory RHSA-2014:1354:
http://rhn.redhat.com/errata/RHSA-2014-1354.html
Ubuntu Security Notice USN-2380-1:
http://www.ubuntu.com/usn/usn-2380-1/
SUSE Security Advisory SUSE-SU-2014:1287:
http://lists.opensuse.org/opensuse-security-announce/2014-10/msg00004.html
openSUSE Recommended Update openSUSE-RU-2014:1289:
http://lists.opensuse.org/opensuse-updates/2014-10/msg00013.html
OpenSUSE Security Update openSUSE-SU-2014:1308-1:
http://lists.opensuse.org/opensuse-updates/2014-10/msg00023.html
OpenSUSE Security Update openSUSE-SU-2014:1310-1:
http://lists.opensuse.org/opensuse-updates/2014-10/msg00025.html
Red Hat Security Update RHSA-2014:1865:
http://rhn.redhat.com/errata/RHSA-2014-1865.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
