Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (17.03.2015):
Für Ubuntu 12.04 LTS steht ein Sicherheitsupdate zur Verfügung, das auch
die Schwachstelle CVE-2014-8542, nicht jedoch CVE-2014-7933 referenziert.
Version 1 (17.03.2015):
Neues Advisory
Betroffene Software:
libav < 0.8.17 Betroffene Plattformen: Canonical Ubuntu Linux 12.04 Lts Debian Linux 7.7 Wheezy Mehrere Schwachstellen in der Libav-Bibliothek ermöglichen einem entfernten, nicht authentifizierten Angreifer die Durchführung eines Denial-of-Service-Angriffs, das Ausführen beliebigen Programmcodes oder weitere nicht näher spezifizierte Angriffe. Für die stabile Distribution Wheezy steht ein Sicherheitsupdate zur Verfügung. Patch: Debian Security Advisory DSA-3189-1 https://www.debian.org/security/2015/dsa-3189
Patch:
Ubuntu Security Notice USN-2534-1
http://www.ubuntu.com/usn/usn-2534-1/
CVE-2014-8542: Schwachstelle in Libav-Bibliothek erlaubt
Denial-of-Service-Angriff
Eine Schwachstelle in der Datei libavcodec/utils.c in FFmpeg bevor 2.4.2
führt dazu, dass bestimmte Codec IDs beim Durchsetzen von Anpassungen
ausgelassen werden. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle ausnutzen, mittels präparierter JV-Daten, um außerhalb
von Speicherbegrenzungen zuzugreifen (“out-of-bounds access”) und dadurch
einen Denial-of-Service-Zustand zu verursachen oder möglicherweise andere
nicht spezifizierte Aktionen durchzuführen.
CVE-2014-9604: Schwachstelle in Libav-Bibliothek ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Libav-Bibliothek in der Datei
libavcodec/utvideodec.c führt dazu, dass nicht geprüft wird, ob eine
Abschnittshöhe den Wert Null hat. In Folge dessen kommt es bei der
Verarbeitung von präparierten Ut-Video-Daten zu einem Zugriff außerhalb der
Speichergrenzen. Ein entfernter, nicht authentifizierter Angreifer kann
einen Denial-of-Service-Angriff durchführen oder möglicherweise andere nicht
spezifizierte Aktionen ausführen.
CVE-2014-8548: Schwachstelle in Libav-Bibliothek ermöglicht
Denial-of-Service-Angriff
Eine Um-eins-daneben-Schwachstelle (off-by-one) in der Datei
libavcodec/smc.c in der Libav-Bibliothek führt bei der Verarbeitung von
präparierten Quicktime-Grafik-Video-Daten (SMC) zu einem Zugriff außerhalb
der Speichergrenzen. Ein entfernter, nicht authentifizierter Angreifer kann
einen Denial-of-Service-Angriff durchführen oder möglicherweise andere nicht
spezifizierte Aktionen ausführen.
CVE-2014-8547: Schwachstelle in Libav-Bibliothek ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Datei libavcodec/gifdec.c in der Libav-Bibliothek
führt dazu, dass die Höhe eines Bildes nicht korrekt berechnet wird. In
Folge dessen kommt es bei der Verarbeitung von präparierten GIF-Daten zu
einem Zugriff außerhalb der Speichergrenzen. Ein entfernter, nicht
authentifizierter Angreifer kann einen Denial-of-Service-Angriff durchführen
oder möglicherweise andere nicht spezifizierte Aktionen ausführen.
CVE-2014-8544: Schwachstelle in Libav-Bibliothek ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Datei libavcodec/tiff.c in der Libav-Bibliothek
führt dazu, dass der Wert innerhalb es Feldes ‘bits-per-pixel’ nicht korrekt
überprüft wird. In Folge dessen kommt es bei der Verarbeitung von
präparierten TIFF-Daten zu einem Zugriff außerhalb der Speichergrenzen. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen oder möglicherweise andere nicht
spezifizierte Aktionen ausführen.
CVE-2014-8543: Schwachstelle in Libav-Bibliothek ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Datei libavcodec/mmvideo.c in der Libav-Bibliothek
führt dazu, dass nicht alle Linien des HHV-Intra-Block bei der Überprüfung
der Bildhöhe berücksichtigt werden. In Folge dessen kommt es bei der
Verarbeitung von präparierten MM-Video-Daten zu einem Zugriff außerhalb der
Speichergrenzen. Ein entfernter, nicht authentifizierter Angreifer kann
einen Denial-of-Service-Angriff durchführen oder möglicherweise andere nicht
spezifizierte Aktionen ausführen.
CVE-2014-7933: Use-after-free-Schwachstelle in FFmpeg ermöglicht Ausführen
beliebigen Programmcodes
Eine Use-after-free-Schwachstelle in der Libav-Bibliothek in FFmpeg führt
dazu, dass durch nicht näher beschriebene Aktionen ein Speicherbereich
weiter genutzt wird, obwohl dieser bereits vom System freigegeben wurde. Ein
entfernter, nicht authentisierter Angreifer kann dadurch beliebigen
Programmcode ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0355/
Schwachstelle CVE-2014-8542 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8542
Schwachstelle CVE-2014-8543 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8543
Schwachstelle CVE-2014-8544 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8544
Schwachstelle CVE-2014-8547 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8547
Schwachstelle CVE-2014-8548 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8548
Schwachstelle CVE-2014-9604 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9604
Schwachstelle CVE-2014-7933 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7933
Debian Security Advisory DSA-3189-1:
https://www.debian.org/security/2015/dsa-3189
Ubuntu Security Notice USN-2534-1:
http://www.ubuntu.com/usn/usn-2534-1/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
