Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 9 (04.12.2014):
Red Hat stellt für die Versionen Desktop, HPC Node, Server und Workstation
unter Red Hat Enterprise Linux 7 Sicherheitsupdates zur Verfügung.
Version 8 (05.11.2014):
Für SUSE Linux Enterprise 11 SP3 wurden für Server, Server für VMware und
Desktop Sicherheitsupdates erstellt.
Version 7 (28.10.2014):
Für Fedora EPEL 6 und Fedora EPEL 7 stehen jetzt Sicherheitsupdates für
hostapd zur Verfügung.
Version 6 (28.10.2014):
Für die Distributionen Fedora 19 und Fedora 20 stehen jetzt
Sicherheitsupdates für hostapd zur Verfügung.
Version 5 (27.10.2014):
Für die Distributionen Fedora 19, Fedora 20 und Fedora 21 stehen
Sicherheitsupdates zur Verfügung.
Version 4 (24.10.2014):
Für Fedora 21 steht ein Sicherheitsupdate zur Verfügung.
Version 3 (22.10.2014):
Für openSUSE 12.3 und openSUSE 13.1 wurden Sicherheitsupdates
bereitgestellt.
Version 2 (16.10.2014):
Debian stellt für die Distribution 7.6 (Wheezy) fehlerbereinigte Pakete
zur Verfügung.
Version 1 (15.10.2014):
Neues Advisory
Betroffene Software:
wpa_supplicant
hostapd
Betroffene Plattformen:
Canonical Ubuntu Linux 10.04 Lts
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Debian Linux 7.6 Wheezy
openSUSE 12.3
openSUSE 13.1
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 VMware
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Workstation 7
Red Hat Fedora 19
Red Hat Fedora 20
Red Hat Fedora 21
Extra Packages for Red Hat Enterprise Linux 6
Extra Packages for Red Hat Enterprise Linux 7
Durch Ausnutzen dieser Schwachstelle kann ein entfernter, nicht
authentifizierter Angreifer beliebige Kommandos auf dem wpa_supplication
ausführen und damit das betroffene drahtlose Netzwerk übernehmen. Canonical
stellt für Ubuntu 14.04 LTS, Ubuntu 12.04 LTS und Ubuntu 10.04 LTS
Sicherheitsupdates für wpa_supplicant bereit.
Patch:
Ubuntu Security Notice USN-2383-1
http://www.ubuntu.com/usn/usn-2383-1/
Patch:
Debian Security Advisory DSA-3052-1
https://www.debian.org/security/2014/dsa-3052
Patch:
openSUSE Security Update: openSUSE-SU-2014:1313-1
http://lists.opensuse.org/opensuse-updates/2014-10/msg00027.html
Patch:
openSUSE Security Update: openSUSE-SU-2014:1314-1
http://lists.opensuse.org/opensuse-updates/2014-10/msg00028.html
Patch:
Fedora Security Update FEDORA-2014-13537
https://admin.fedoraproject.org/updates/FEDORA-2014-13537/wpa_supplicant-2.0-12.fc21
Patch:
Fedora Security Update FEDORA-2014-13551
https://admin.fedoraproject.org/updates/FEDORA-2014-13551/wpa_supplicant-2.0-12.fc19
Patch:
Fedora Security Update FEDORA-2014-13555
https://admin.fedoraproject.org/updates/FEDORA-2014-13555/wpa_supplicant-2.0-12.fc20
Patch:
Fedora Security Update FEDORA-2014-13608
https://admin.fedoraproject.org/updates/FEDORA-2014-13608/hostapd-2.3-1.fc21
Patch:
Fedora EPEL Update FEDORA-EPEL-2014-3589
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-3589/hostapd-2.0-5.el6
Patch:
Fedora EPEL Update FEDORA-EPEL-2014-3672
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-3672/hostapd-2.3-1.el7
Patch:
Fedora Security Update FEDORA-2014-13778
https://admin.fedoraproject.org/updates/FEDORA-2014-13778/hostapd-2.0-5.fc19
Patch:
Fedora Security Update FEDORA-2014-13783
https://admin.fedoraproject.org/updates/FEDORA-2014-13783/hostapd-2.3-1.fc20
Patch:
SUSE Security Update: SUSE-SU-2014:1356-1
http://lists.opensuse.org/opensuse-security-announce/2014-11/msg00000.html
Patch:
Red Hat Security Advisory RHSA-2014:1956
http://rhn.redhat.com/errata/RHSA-2014-1956.html
CVE-2014-3686: Schwachstelle in wpa_supplicant erlaubt Ausführen beliebiger
Kommandos
Eine Schwachstelle im “wpa_cli”-Tool im “wpa_supplicant” besteht in einer
fehlerhaften Bereinigung von Strings, wenn diese mit “action scripts”
verwendet werden. Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle ausnutzen, indem er speziell präparierten
Netzwerkverkehr an einen “wpa_supplicant” sendet, um beliebigen Programmcode
zur Ausführung zu bringen, bzw. dadurch beliebige Befehle auszuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1358/
Ubuntu Security Notice USN-2383-1:
http://www.ubuntu.com/usn/usn-2383-1/
Schwachstelle CVE-2014-3686 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3686
Debian Security Advisory DSA-3052-1:
https://www.debian.org/security/2014/dsa-3052
openSUSE Security Update: openSUSE-SU-2014:1313-1:
http://lists.opensuse.org/opensuse-updates/2014-10/msg00027.html
openSUSE Security Update: openSUSE-SU-2014:1314-1:
http://lists.opensuse.org/opensuse-updates/2014-10/msg00028.html
Fedora Security Update FEDORA-2014-13537:
https://admin.fedoraproject.org/updates/FEDORA-2014-13537/wpa_supplicant-2.0-12.fc21
Fedora Security Update FEDORA-2014-13551:
https://admin.fedoraproject.org/updates/FEDORA-2014-13551/wpa_supplicant-2.0-12.fc19
Fedora Security Update FEDORA-2014-13555:
https://admin.fedoraproject.org/updates/FEDORA-2014-13555/wpa_supplicant-2.0-12.fc20
Fedora Security Update FEDORA-2014-13608:
https://admin.fedoraproject.org/updates/FEDORA-2014-13608/hostapd-2.3-1.fc21
Fedora EPEL Update FEDORA-EPEL-2014-3589:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-3589/hostapd-2.0-5.el6
Fedora EPEL Update FEDORA-EPEL-2014-3672:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-3672/hostapd-2.3-1.el7
Fedora Security Update FEDORA-2014-13778:
https://admin.fedoraproject.org/updates/FEDORA-2014-13778/hostapd-2.0-5.fc19
Fedora Security Update FEDORA-2014-13783:
https://admin.fedoraproject.org/updates/FEDORA-2014-13783/hostapd-2.3-1.fc20
SUSE Security Update: SUSE-SU-2014:1356-1:
http://lists.opensuse.org/opensuse-security-announce/2014-11/msg00000.html
Red Hat Security Advisory RHSA-2014:1956:
http://rhn.redhat.com/errata/RHSA-2014-1956.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
