Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
cURL <= 7.38.0 libcurl <= 7.38.0 Betroffene Plattformen: Red Hat Fedora 20 Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 7 Durch Ausnutzen dieser Schwachstellen kann ein entfernter, nicht authentisierter Angreifer Sicherheitsvorkehrungen umgehen sowie sensible Daten ausspähen, die ihm darüber hinaus einen Denial-of-Service (DoS)-Angriff ermöglichen. Für Fedora 20, 21 und EPEL 7 werden Sicherheitsupdates von cURL für mingw bereitgestellt. Patch: Fedora EPEL Security Update FEDORA-EPEL-2014-4906 https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4906/mingw-curl-7.39.0-1.el7
Patch:
Fedora Security Update FEDORA-2014-17596
https://admin.fedoraproject.org/updates/FEDORA-2014-17596/mingw-curl-7.39.0-1.fc20
Patch:
Fedora Security Update FEDORA-2014-17601
https://admin.fedoraproject.org/updates/FEDORA-2014-17601/mingw-curl-7.39.0-1.fc21
CVE-2014-3707: Schwachstelle in cURL erlaubt Ausspähen von Informationen
Eine Schwachstelle in cURL besteht darin, dass die Funktion
“curl_easy_duphandle()” in libcurl bei einem HTTP-POST-Transfer unter
bestimmten Umständen sensible Daten zurücksendet. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, mittels eines
HTTP-POST-Requests, um sensible Daten aus solchen Speicherbereichen
auszulesen, auf die er keinen Zugriff haben sollte, oder auch Daten auf
diesem Wege in einen HTTP-POST-Request einzuschleusen, wodurch weitere
Angriffe möglich werden, z. B. das Herbeiführen eines partiellen
Denial-of-Service (DoS)-Zustandes.
CVE-2014-3620: Schwachstelle in cURL ermöglicht das Umgehen von
Sicherheitsvorkehrungen
Es existiert eine Schwachstelle in cURL, die fälschlicherweise erlaubt, dass
Cookies für Top Level Domains (TLDs) gesetzt werden. Dadurch werden Cookies
in größerem Ausmaße, als eigentlich erlaubt, akzeptiert, wodurch beliebige
Seiten Cookies setzen können, die dann zu anderen Seiten oder Domains
gesendet werden. Ein entfernter, nicht authentifizierter Angreifer kann
somit Sicherheitsvorkehrungen umgehen.
CVE-2014-3613: Schwachstelle in cURL ermöglicht das Umgehen von
Sicherheitsvorkehrungen
Es existiert eine Schwachstelle in cURL beim Parsen vom HTTP Cockies, die es
erlaubt Cookies an falsche Seiten zu senden und Cookies für andere Seiten zu
setzen. Ein entfernter, nicht authentifizierter Angreifer kann
Sicherheitsvorkehrungen umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1719/
Schwachstelle CVE-2014-3613 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3613
Schwachstelle CVE-2014-3620 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3620
Schwachstelle CVE-2014-3707 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3707
Fedora EPEL Security Update FEDORA-EPEL-2014-4906:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4906/mingw-curl-7.39.0-1.el7
Fedora Security Update FEDORA-2014-17596:
https://admin.fedoraproject.org/updates/FEDORA-2014-17596/mingw-curl-7.39.0-1.fc20
Fedora Security Update FEDORA-2014-17601:
https://admin.fedoraproject.org/updates/FEDORA-2014-17601/mingw-curl-7.39.0-1.fc21
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
