Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
X.Org-Server
Betroffene Plattformen:
SUSE Software Development Kit 11 SP3 Enterprise
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 VMware
Eine Schwachstelle im X.Org-X11-Server ermöglicht einem authentifizierten
Angreifer im benachbarten Netzwerk einen Denial-of-Service-Angriff
durchzuführen.
Das Sicherheitsupdate für SUSE Linux Enterprise 11 SP3 für die Produkte
Software Development Kit, Server, Server für VMware und Desktop für die
Schwachstelle CVE-2015-3418 schließt eine Sicherheitslücke die durch das
Update für die Schwachstelle CVE-2014-8092 eingeführt wurde.
Patch:
SUSE Security Update SUSE-SU-2015:1025-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151025-1.html
CVE-2015-3418: Schwachstelle in X11-Server ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle im X11-Server führt bei der Überprüfung der Abmessungen
von Bildern zu einem Teilen-durch-Null-Fehler (divide-by-zero). Durch die
Verwendung eines präparierten Bildes mit der Höhe 0, kommt es beim Anzeigen
des Bildes, zu einem Programmabsturz. Die Schwachstelle ist mit dem
Sicherheitsupdate für die Schwachstelle CVE-2014-8092 eingeführt worden. Ein
authentifizierter Angreifer im benachbarten Netzwerk kann einen
Denial-of-Service-Angriff durchführen.
CVE-2014-8092: Schwachstelle in X11-Core-Protokoll ermöglicht Ausführen
beliebigen Programmcodes
Eine Schwachstelle in den Funktionen ProcPutImage(), GetHosts(),
RegionSizeof() und REQUEST_FIXED_SIZE() führt dazu, dass nicht überprüft
wird, ob die Berechnung, wieviel Speicher für die Client-Anfrage benötigt
wird, zu einem Pufferüberlauf führt. Es kommt dadurch zu einem Lesen oder
Schreiben außerhalb der Speichergrenzen. Ein entfernter, authentifizierter
Angreifer kann beliebigen Programmcode ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0828/
Schwachstelle CVE-2014-8092 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8092
SUSE Security Update SUSE-SU-2015:1025-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151025-1.html
Schwachstelle CVE-2015-3418 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3418
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
