Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 4 (29.12.2014):
Für die Distributionen Fedora 20 und Fedora 21 stehen erneut weitere
Sicherheitsupdates zur Verfügung, die eine Pufferüberlauf-Schwachstelle
beheben, die durch den unvollständigen Fix für die Schwachstelle
CVE-2014-2240 eingeführt wurde. Für Fedora EPEL 7 steht ebenfalls ein
solches Update bereit.
Version 3 (15.12.2014):
Für die Distributionen Fedora 20 und Fedora 21 stehen weitere
Sicherheitsupdates zur Verfügung, die eine Schwachstelle, die zu einem
Pufferüberlauf führen kann, beheben. Dieses Problem wurde durch den
unvollständigen Fix für die Schwachstelle CVE-2014-2240 eingeführt.
Version 2 (30.05.2014):
Für Fedora 19 und 20 stehen Sicherheitsupdates bereit.
Version 1 (17.03.2014):
Neues Advisory
Betroffene Software:
FreeType <= 2.5.3 Betroffene Plattformen: Canonical Ubuntu Linux 13.10 Red Hat Fedora 19 Red Hat Fedora 20 Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 7 Durch zwei Schwachstellen in FreeType kann ein entfernter, nicht authentifizierter Angreifer beliebigen Programmcode mit Benutzerrechten ausführen oder einen Denial-of-Service-Zustand bewirken. Patch: Ubuntu Security Notice USN-2148-1 http://www.ubuntu.com/usn/usn-2148-1/
Patch:
Fedora Security Update FEDORA-2014-6830
https://admin.fedoraproject.org/updates/FEDORA-2014-6830/mingw-freetype-2.5.0.1-2.fc20
Patch:
Fedora Security Update FEDORA-2014-6833
https://admin.fedoraproject.org/updates/FEDORA-2014-6833/mingw-freetype-2.4.12-3.fc19
Patch:
Fedora Security Update FEDORA-2014-16840
https://admin.fedoraproject.org/updates/FEDORA-2014-16840/freetype-2.5.3-13.fc21
Patch:
Fedora Security Update FEDORA-2014-16854
https://admin.fedoraproject.org/updates/FEDORA-2014-16854/freetype-2.5.0-7.fc20
Patch:
Fedora Security Update FEDORA-2014-17550
https://admin.fedoraproject.org/updates/FEDORA-2014-17550/mingw-freetype-2.5.4-1.fc21
Patch:
Fedora Security Update FEDORA-2014-17580
https://admin.fedoraproject.org/updates/FEDORA-2014-17580/mingw-freetype-2.5.4-1.fc20
Patch:
Fedora Security Update FEDORA-EPEL-2014-4904
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4904/mingw-freetype-2.5.4-1.el7
CVE-2014-2241: Schwachstelle bei der Verarbeitung von Schriftarten in
FreeType
Es besteht eine Schwachstelle innerhalb der Verarbeitung von Schriftarten in
FreeType. Ein entfernter, nicht authentifizierter Angreifer kann durch eine
manipulierte Schriftart-Datei beliebigen Code mit Benutzerrechten ausführen
oder das Programm zum Absturz bringen (Denial-of-Service).
CVE-2014-2240: Pufferüberlauf bei der Verarbeitung von Schriftarten in
FreeType
In der Funktion cf2_hintmap_build in cff/cf2hints.c in FreeType kann es zu
einem Stack-basierten Pufferüberlauf kommen. Ein entfernter, nicht
authentifizierter Angreifer kann durch eine manipulierte Schriftart-Datei
beliebigen Programmcode mit Benutzerrechten ausführen oder das Programm zum
Absturz bringen (Denial-of-Service).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0328/
Schwachstelle CVE-2014-2240 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2240
Ubuntu Security Notice USN-2148-1:
http://www.ubuntu.com/usn/usn-2148-1/
Schwachstelle CVE-2014-2241 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2241
Fedora Security Update FEDORA-2014-6830:
https://admin.fedoraproject.org/updates/FEDORA-2014-6830/mingw-freetype-2.5.0.1-2.fc20
Fedora Security Update FEDORA-2014-6833:
https://admin.fedoraproject.org/updates/FEDORA-2014-6833/mingw-freetype-2.4.12-3.fc19
Fedora Security Update FEDORA-2014-16840:
https://admin.fedoraproject.org/updates/FEDORA-2014-16840/freetype-2.5.3-13.fc21
Fedora Security Update FEDORA-2014-16854:
https://admin.fedoraproject.org/updates/FEDORA-2014-16854/freetype-2.5.0-7.fc20
Fedora Security Update FEDORA-2014-17550:
https://admin.fedoraproject.org/updates/FEDORA-2014-17550/mingw-freetype-2.5.4-1.fc21
Fedora Security Update FEDORA-2014-17580:
https://admin.fedoraproject.org/updates/FEDORA-2014-17580/mingw-freetype-2.5.4-1.fc20
Fedora Security Update FEDORA-EPEL-2014-4904:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4904/mingw-freetype-2.5.4-1.el7
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
