Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
LibRaw <= 0.17 Betroffene Plattformen: Red Hat Fedora 21 Red Hat Fedora 22 Red Hat Fedora 23 Extra Packages for Red Hat Enterprise Linux 6 Ein entfernter, nicht authentisierter Angreifer kann zwei Schwachstellen in LibRaw über unbekannte Angriffsvektoren für nicht spezifizierte Angriffe ausnutzen. Für die Distributionen Fedora 21, 22 und 23 sowie EPEL 6 werden Backport-Sicherheitsupdates in Form der Pakete LibRaw-0.16.2-3.fc21, LibRaw-0.16.2-3.fc22, LibRaw-0.16.2-3.fc23 und LibRaw-0.16.2-3.el6 zur Verfügung gestellt, um diese Schwachstellen zu schließen. Patch: Fedora Security Update FEDORA-2015-a288773b9a (Fedora 22) https://bodhi.fedoraproject.org/updates/FEDORA-2015-a288773b9a
Patch:
Fedora Security Update FEDORA-2015-d2fc332108 (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-d2fc332108
Patch:
Fedora Security Update FEDORA-2015-d8629e5c53 (Fedora 21)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-d8629e5c53
Patch:
Fedora Security Update FEDORA-EPEL-2015-c3b0e79630 (Fedora EPEL 6)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-c3b0e79630
CVE-2015-8367: Schwachstelle in LibRaw ermöglicht nicht spezifizierte
Angriffe
Eine Schwachstelle im LibRaw Image Decoder bis einschließlich Version 0.17
basiert darauf, dass die Funktion ‘phase_one_correct’ Speicherobjekte nicht
korrekt initialisiert. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle über unbekannte Vektoren für nicht spezifizierte
Angriffe ausnutzen.
CVE-2015-8366: Schwachstelle in LibRaw ermöglicht nicht spezifizierte
Angriffe
Eine Schwachstelle im LibRaw Image Decoder bis einschließlich Version 0.17
basiert darauf, dass die Funktion ‘smal_decode_segment’ den Index nicht
korrekt behandelt, wodurch es zu einem Indexüberlauf kommen kann. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle über
unbekannte Vektoren für nicht spezifizierte Angriffe ausnutzen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1848/
Schwachstelle CVE-2015-8366 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8366
Schwachstelle CVE-2015-8367 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8367
Fedora Security Update FEDORA-2015-a288773b9a (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-a288773b9a
Fedora Security Update FEDORA-2015-d2fc332108 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-d2fc332108
Fedora Security Update FEDORA-2015-d8629e5c53 (Fedora 21):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-d8629e5c53
Fedora Security Update FEDORA-EPEL-2015-c3b0e79630 (Fedora EPEL 6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-c3b0e79630
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
