Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Python Pillow
Betroffene Plattformen:
SUSE Cloud 5
Durch Ausnutzen mehrerer Schwachstellen in Python Pillow kann ein
entfernter, nicht authentisierter Angreifer einen Denial-of-Service
(DoS)-Angriff durchführen, bzw. durch zwei Schwachstellen ein lokaler, nicht
authentifizierter Angreifer unsichere temporäre Dateien erzeugen, infolge
derer auch das Ausspähen von Informationen möglich wird. Für SUSE Cloud 5
werden Sicherheitsupdates von Python Pillow auf Version 2.7.0 zur Verfügung
gestellt.
Patch:
SUSE Security Update SUSE-SU-2015:0777-1
https://www.suse.com/support/update/announcement/2015/suse-su-20150777-1.html
CVE-2014-9601: Schwachstelle in Python Pillow erlaubt Denial-of-Service
Es existiert eine Schwachstelle in Python Pillow. Durch einen komprimierten
Text-Chunk in einem PNG-Bild, welches nach Dekompression sehr groß ist, kann
die betroffene Anwendung zum Absturz gebracht werden. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle für
Denial-of-Service-Angriffe ausnutzen.
CVE-2014-3598: Schwachstelle in Python Pillow erlaubt Denial-of-Service
Es existiert eine Schwachstelle im Jpeg2KImagePlugin-Modul von Python
Pillow. Durch eine fehlerhafte, unzureichende Validierung von
Benutzereingaben im Jpeg2KImagePlugin-Modul kann die betroffene Anwendung
zum Absturz gebracht werden. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle für Denial-of-Service-Angriffe ausnutzen.
CVE-2014-3589: Schwachstelle in Python Pillow erlaubt Denial-of-Service
Es existiert eine Schwachstelle im IcnsImagePlugin Modul von Python Pillow.
Durch eine fehlerhafte, unzureichende Validierung von Benutzereingaben im
IcnsImagePlugin Modul kann die betroffene Anwendung zum Absturz gebracht
werden. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle für Denial-of-Service Angriffe ausnutzen.
CVE-2014-1933: Schwachstelle in Python erlaubt Erzeugen unsicherer Dateien
Es besteht eine Schwachstelle in der tempfile.mktemp() Funktion in der
Python Imaging-Bibliothek bezüglich des Umgangs mit temporären Dateien. Ein
lokaler, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um unsichere temporäre Dateien zu erzeugen oder unberechtigt
Daten zu lesen.
CVE-2014-1932: Schwachstelle in Python erlaubt Erzeugen unsicherer Dateien
Es besteht eine Schwachstelle in der tempfile.mktemp() Funktion in der
Python Imaging-Bibliothek bezüglich des Umgangs mit temporären Dateien. Ein
lokaler, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um unsichere temporäre Dateien zu erzeugen oder unberechtigt
Daten zu lesen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0618/
Schwachstelle CVE-2014-1932 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1932
Schwachstelle CVE-2014-1933 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1933
Schwachstelle CVE-2014-3589 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3589
Schwachstelle CVE-2014-9601 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9601
SUSE Security Update SUSE-SU-2015:0777-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20150777-1.html
Schwachstelle CVE-2014-3598 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3598
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
