Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Secure Global Desktop <= 4.63 Secure Global Desktop <= 4.71 Secure Global Desktop <= 5.0 Secure Global Desktop <= 5.1 Betroffene Plattformen: Apple Mac OS X GNU/Linux Microsoft Windows Oracle Solaris Im Oracle Secure Global Desktop bestehen mehrere Schwachstellen, die von einem entfernten, nicht authentisierten Angreifer zu Denial-of-Service-Angriffen und dem Auspähen von Daten ausgenutzt werden können. Patch: Oracle Critical Patch Update Advisory - January 2015 (CPUJan2015) http://www.oracle.com/technetwork/topics/security/cpujan2015-1972971.html

CVE-2014-3567: Schwachstelle in der Speicherverwaltung von OpenSSL
ermöglicht DoS-Angriffe

Ein mit OpenSSL geschützter Server gibt Speicher nicht wieder frei, wenn die
Integritätsprüfung eines empfangenen Sitzungstickets fehlschlägt. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen, indem er eine
große Anzahl von ungültigen Sitzungstickets an den Server sendet.

CVE-2014-3566: POODLE: SSL 3.0 Protokoll, wie z.B. in OpenSSL verwendet,
ermöglicht das Ausspähen von Informationen

Das SSL 3.0 Protokoll, so wie es u.a. von OpenSSL bis Version 1.0.1i
implementiert wird, benutzt nicht deterministisches “Padding”. Padding ist
das Auffüllen der Nachricht mit Bytes bis zur nächsten vollen Blockgrenze
für Kryptoalgorithmen im CBC-Modus (Cipher-Block-Chaining). Dieses Padding
wird nicht durch den MAC (Message Authentication Code), d.h. eine
kryptografische Prüfsumme, überprüft. Der Empfänger von verschlüsselten
Nachrichten kann also die Integrität des Paddings nicht vollständig
überprüfen. Diese Schwäche des SSL 3.0 Protokolls kann von einem entfernten,
nicht authentifizierten Angreifer in einem Man-in-the-middle-Angriff
ausgenutzt werden, um Teile der Nachricht im Klartext zu erhalten, indem er
das Padding entsprechend modifiziert (Padding-Oracle-Angriff). Diese
Protokollschwäche wurde von seinen Entdeckern “POODLE” getauft.

CVE-2014-0226: Race-Condition-Schwachstelle in “mod_status”

Eine Race-Condition wurde in “mod_status” gefunden. Ein entfernter, nicht
authentisierter Angreifer, der in der Lage ist, eine öffentliche Statusseite
eines Servers aufzurufen, welcher verkettete Multi-Processing-Module (MPM)
verwendet, kann diese Schwachstelle ausnutzen, indem er einen speziell
präparierten Request sendet, um einen Überlauf des Heap-Speichers zu
verursachen (“heap buffer overflow”). In der Folge kann ein
Denial-of-Service-Zustand entstehen, die Ausführung von beliebigem
Programmcode oder das Ausspähen von Informationen möglich werden. Anmerkung:
Normalerweise sollten Serverstatusseiten nicht öffentlich erreichbar gemacht
werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0083/

Schwachstelle CVE-2014-0226 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0226

Schwachstelle CVE-2014-3566 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3566

Schwachstelle CVE-2014-3567 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3567

Oracle Critical Patch Update Advisory – January 2015 (CPUJan2015):
http://www.oracle.com/technetwork/topics/security/cpujan2015-1972971.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.