Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (19.05.2015):
Citrix, SUSE und F5 Networks stellen neue Informationen und Updates
bereit, Details finden sich im Abschnitt Beschreibung – Update 5.
Version 5 (18.05.2015):
openSUSE veröffentlicht für die Distributionen openSUSE 13.1 und openSUSE
13.2 Sicherheitsupdates.
Version 4 (18.05.2015):
Red Hat stellt für Red Hat Enterprise Virtualization 3 ein
Sicherheitsupdate bereit. Oracle stellt für Kunden mit gültigem
Servicekontrakt Sicherheitsupdates für Oracle Linux 5, 6 und 7, Oracle VM
Version 2.2, 3.2 und 3.3 sowie Oracle VM VirtualBox Version 3.2, 4.0, 4.1,
4.2 und 4.3 vor Version 4.3.28 zur Verfügung. SUSE veröffentlicht für SUSE
Linux Enterprise Server 11 SP3 und Desktop 11 SP3 Sicherheitsupdates.
Version 3 (15.05.2015):
Für Fedora 20 und 21 werden Sicherheitsupdates für Xen und QEMU auf
xen-4.3.4-4.fc20, xen-4.4.2-4.fc21, qemu-1.6.2-14.fc20 und
qemu-2.1.3-7.fc21 im Status ‘testing’ bereitgestellt.
Version 2 (15.05.2015):
Citrix informiert darüber, dass die Analysen zur Betroffenheit der Citrix
XenServer derzeit stattfinden. Sobald Ergebnisse der Analysen vorliegen,
werden diese über das referenzierte Advisory veröffentlicht.
IBM veröffentlicht ebenfalls eine Information zu der Schwachstelle,
benennt derzeit noch keine Produkte als betroffen und empfiehlt ein
aktives Überprüfen des IBM Support Portals und der referenzierten
Webseite, um über die Verfügbarkeit von Sicherheitsupdates zeitnah
informiert zu sein.
Für die Distribution Fedora 22 stehen Sicherheitsupdates für Xen und QEMU
in Form der Pakete xen-4.5.0-9.fc22 bzw. qemu-2.3.0-4.fc22 im Status
‘testing’ zur Verfügung.
Version 1 (13.05.2015):
Neues Advisory
Betroffene Software:
QEMU
Red Hat Enterprise Virtualization 3
Red Hat Enterprise Virtualization 3.5
Kernel-based Virtual Machine (KVM)
Red Hat Enterprise Linux OpenStack 4
Red Hat Enterprise Linux OpenStack 5
Red Hat Enterprise Linux OpenStack 6
Red Hat Virtualization 5 Server
Xen 4.2.x
Xen 4.3.x
Xen 4.4.x
Xen 4.5.x
Betroffene Plattformen:
Citrix XenServer 6.0
Citrix XenServer 6.0.2
Citrix XenServer 6.1
Citrix XenServer 6.2 SP1
Citrix XenServer 6.5
Citrix XenServer 6.5 SP1
Oracle Virtualization 2.2
Oracle Virtualization 3.2
Oracle Virtualization 3.3
Oracle VM VirtualBox 3.2
Oracle VM VirtualBox 4.0
Oracle VM VirtualBox 4.1.0
Oracle VM VirtualBox 4.2.0
Oracle VM VirtualBox 4.3.0
Oracle VM VirtualBox < 4.3.28
Red Hat Enterprise Virtualization 3
GNU/Linux
openSUSE 13.1
openSUSE 13.2
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 12
Oracle Linux 5
Oracle Linux 6
Oracle Linux 7
Red Hat Enterprise Linux 5
Red Hat Enterprise Linux 6
Red Hat Enterprise Linux 7
Red Hat Enterprise Linux Desktop 5 Multi OS Client
Red Hat Enterprise Linux Desktop 5 Client
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux Server 5
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server 6.6.z EUS
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation 7
Red Hat Fedora 20
Red Hat Fedora 21
Red Hat Fedora 22
Eine Schwachstelle in QEMU ermöglicht einem privilegierten Gast-Benutzer,
der Zugriffsrechte auf ein virtuelles Floppy Disk-Gerät besitzt, das
Gast-System abstürzen zu lassen oder nach Übernahme des QEMU-Prozesses
möglicherweise beliebigen Programmcode mit den Rechten des QEMU-Prozesses
des Host-Systems auszuführen.
Red Hat stellt für verschiedene Produkte von Red Hat Enterprise Linux 5, 6
und 7 Sicherheitsupdates zur Verfügung. Xen veröffentlicht
Sicherheitsupdates für die Versionen 4.2.x, 4.3.x, 4.4.x und 4.5.x.
Update 1: Citrix informiert darüber, dass die Analysen zur Betroffenheit der
Citrix XenServer derzeit stattfinden. Sobald Ergebnisse der Analysen
vorliegen, werden diese über das referenzierte Advisory veröffentlicht.
IBM veröffentlicht ebenfalls eine Information zu der Schwachstelle, benennt
derzeit noch keine Produkte als betroffen und empfiehlt ein aktives
Überprüfen des IBM Support Portals und der referenzierten Webseite, um über
die Verfügbarkeit von Sicherheitsupdates zeitnah informiert zu sein.
Für die Distribution Fedora 22 stehen Sicherheitsupdates für Xen und QEMU
in Form der Pakete xen-4.5.0-9.fc22 bzw. qemu-2.3.0-4.fc22 im Status
'testing' zur Verfügung.
Update 2: Für Fedora 20 und 21 werden Sicherheitsupdates für Xen und QEMU
auf xen-4.3.4-4.fc20, xen-4.4.2-4.fc21, qemu-1.6.2-14.fc20 und
qemu-2.1.3-7.fc21 im Status 'testing' bereitgestellt.
Update 3: Red Hat stellt für Red Hat Enterprise Virtualization 3 ein
Sicherheitsupdate bereit. Oracle stellt für Kunden mit gültigem
Servicekontrakt Sicherheitsupdates für Oracle Linux 5, 6 und 7, Oracle VM
Version 2.2, 3.2 und 3.3 sowie Oracle VM VirtualBox Version 3.2, 4.0, 4.1,
4.2 und 4.3 vor Version 4.3.28 zur Verfügung. SUSE veröffentlicht für SUSE
Linux Enterprise Server 11 SP3 und Desktop 11 SP3 Sicherheitsupdates.
Update 4: openSUSE veröffentlicht für die Distributionen openSUSE 13.1 und
openSUSE 13.2 Sicherheitsupdates.
Update 5: Citrix stellt über die bereits veröffentlichte Referenz neue
Informationen und jetzt auch Sicherheitsupdates zur Verfügung. Die
durchgeführten Analysen haben ergeben, dass alle derzeit unterstützten
Versionen des Citrix XenServers von der Schwachstelle betroffen sind.
Konkret sind das XenServer 6.5, 6.5 Service Pack 1, 6.2 Service Pack 1, 6.1,
6.0.2, 6.0 sowie die nach Common Criteria zertifizierte Version XenServer
6.0.2. Citrix stellt für alle Versionen Sicherheitsupdates bereit und
empfiehlt dringend diese Updates so schnell wie möglich zu installieren.
SUSE stellt für SUSE Linux Enterprise Server 12 und Desktop 12
Sicherheitsupdates bereit, die zusätzlich die
Denial-of-Service-Schwachstelle CVE-2015-1779 beheben.
F5 Networks veröffentlicht erste Informationen zu der Betroffenheit der F5
Produkte, für die BIG-IP Produktlinie liegen derzeit jedoch noch keine
Analyseergebnisse vor.
Patch:
Red Hat Security Advisory RHSA-2015:0998
http://rhn.redhat.com/errata/RHSA-2015-0998.html
Patch:
Red Hat Security Advisory RHSA-2015:0999
http://rhn.redhat.com/errata/RHSA-2015-0999.html
Patch:
Red Hat Security Advisory RHSA-2015:1000
http://rhn.redhat.com/errata/RHSA-2015-1000.html
Patch:
Red Hat Security Advisory RHSA-2015:1001
http://rhn.redhat.com/errata/RHSA-2015-1001.html
Patch:
Red Hat Security Advisory RHSA-2015:1002
http://rhn.redhat.com/errata/RHSA-2015-1002.html
Patch:
Red Hat Security Advisory RHSA-2015:1003
http://rhn.redhat.com/errata/RHSA-2015-1003.html
Patch:
Red Hat Security Advisory RHSA-2015:1004
http://rhn.redhat.com/errata/RHSA-2015-1004.html
Patch:
Xen Security Advisory XSA-133
http://xenbits.xen.org/xsa/advisory-133.html
Patch:
Citrix Security Advisory CTX201078
http://support.citrix.com/article/CTX201078
Patch:
EGI CSIRT Security Advisory Alerts/VENOM-2015-05-13
https://wiki.egi.eu/wiki/EGI_CSIRT:Alerts/VENOM-2015-05-13
Patch:
Fedora Security Update FEDORA-2015-8194
https://admin.fedoraproject.org/updates/FEDORA-2015-8194/xen-4.5.0-9.fc22
Patch:
Fedora Security Update FEDORA-2015-8220
https://admin.fedoraproject.org/updates/FEDORA-2015-8220/qemu-2.3.0-4.fc22
Patch:
Fedora Security Update FEDORA-2015-8248
https://admin.fedoraproject.org/updates/FEDORA-2015-8248/qemu-1.6.2-14.fc20
Patch:
Fedora Security Update FEDORA-2015-8249
https://admin.fedoraproject.org/updates/FEDORA-2015-8249/qemu-2.1.3-7.fc21
Patch:
Fedora Security Update FEDORA-2015-8252
https://admin.fedoraproject.org/updates/FEDORA-2015-8252/xen-4.3.4-4.fc20
Patch:
Fedora Security Update FEDORA-2015-8270
https://admin.fedoraproject.org/updates/FEDORA-2015-8270/xen-4.4.2-4.fc21
Patch:
IBM Security Advisory Lotus-ADV-venom_cve_2015_3456
https://www-304.ibm.com/connections/blogs/PSIRT/entry/venom_cve_2015_3456?lang=en_us
Patch:
Oracle Security Alert CVE-2015-3456
http://www.oracle.com/ocom/groups/public/@otn/documents/webcontent/2543038.xml
Patch:
Red Hat Security Advisory RHSA-2015:1011
http://rhn.redhat.com/errata/RHSA-2015-1011.html
Patch:
SUSE Security Update SUSE-SU-2015:0889-1
https://www.suse.com/support/update/announcement/2015/suse-su-20150889-1.html
Patch:
openSUSE Security Update openSUSE-SU-2015:0893-1
http://lists.opensuse.org/opensuse-updates/2015-05/msg00021.html
Patch:
openSUSE Security Update openSUSE-SU-2015:0894-1
http://lists.opensuse.org/opensuse-updates/2015-05/msg00022.html
Patch:
F5 Networks Security Advisory sol16620
http://support.f5.com/kb/en-us/solutions/public/16000/600/sol16620.html?ref=rss
Patch:
SUSE Security Update SUSE-SU-2015:0896-1
https://www.suse.com/support/update/announcement/2015/suse-su-20150896-1.html
CVE-2015-3456: Speicherüberlauf-Schwachstelle in QEMU ermöglicht
Privilegieneskalation
Der Programmteil in QEMU, der einen Floppy Disk Controller (FDC) emuliert
bzw. virtuell bereitstellt, prüft Speichergrenzen bei FIFO-Pufferzugriffen
auf ein Array bei bestimmten FDC-Kommandos nicht korrekt, wodurch es zu
einem Speicherüberlauf kommen kann.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0691/
Red Hat Security Advisory RHSA-2015:0998:
http://rhn.redhat.com/errata/RHSA-2015-0998.html
Red Hat Security Advisory RHSA-2015:0999:
http://rhn.redhat.com/errata/RHSA-2015-0999.html
Red Hat Security Advisory RHSA-2015:1000:
http://rhn.redhat.com/errata/RHSA-2015-1000.html
Red Hat Security Advisory RHSA-2015:1001:
http://rhn.redhat.com/errata/RHSA-2015-1001.html
Red Hat Security Advisory RHSA-2015:1002:
http://rhn.redhat.com/errata/RHSA-2015-1002.html
Red Hat Security Advisory RHSA-2015:1003:
http://rhn.redhat.com/errata/RHSA-2015-1003.html
Red Hat Security Advisory RHSA-2015:1004:
http://rhn.redhat.com/errata/RHSA-2015-1004.html
Xen Security Advisory XSA-133:
http://xenbits.xen.org/xsa/advisory-133.html
Schwachstelle CVE-2015-3456 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3456
Citrix Security Advisory CTX201078:
http://support.citrix.com/article/CTX201078
EGI CSIRT Security Advisory Alerts/VENOM-2015-05-13:
https://wiki.egi.eu/wiki/EGI_CSIRT:Alerts/VENOM-2015-05-13
Fedora Security Update FEDORA-2015-8194:
https://admin.fedoraproject.org/updates/FEDORA-2015-8194/xen-4.5.0-9.fc22
Fedora Security Update FEDORA-2015-8220:
https://admin.fedoraproject.org/updates/FEDORA-2015-8220/qemu-2.3.0-4.fc22
Fedora Security Update FEDORA-2015-8248:
https://admin.fedoraproject.org/updates/FEDORA-2015-8248/qemu-1.6.2-14.fc20
Fedora Security Update FEDORA-2015-8249:
https://admin.fedoraproject.org/updates/FEDORA-2015-8249/qemu-2.1.3-7.fc21
Fedora Security Update FEDORA-2015-8252:
https://admin.fedoraproject.org/updates/FEDORA-2015-8252/xen-4.3.4-4.fc20
Fedora Security Update FEDORA-2015-8270:
https://admin.fedoraproject.org/updates/FEDORA-2015-8270/xen-4.4.2-4.fc21
IBM Security Advisory Lotus-ADV-venom_cve_2015_3456:
https://www-304.ibm.com/connections/blogs/PSIRT/entry/venom_cve_2015_3456?lang=en_us
Oracle Security Alert CVE-2015-3456:
http://www.oracle.com/ocom/groups/public/@otn/documents/webcontent/2543038.xml
Red Hat Security Advisory RHSA-2015:1011:
http://rhn.redhat.com/errata/RHSA-2015-1011.html
SUSE Security Update SUSE-SU-2015:0889-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20150889-1.html
openSUSE Security Update openSUSE-SU-2015:0893-1:
http://lists.opensuse.org/opensuse-updates/2015-05/msg00021.html
openSUSE Security Update openSUSE-SU-2015:0894-1:
http://lists.opensuse.org/opensuse-updates/2015-05/msg00022.html
F5 Networks Security Advisory sol16620:
http://support.f5.com/kb/en-us/solutions/public/16000/600/sol16620.html?ref=rss
SUSE Security Update SUSE-SU-2015:0896-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20150896-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
