Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
GNU glibc
Betroffene Plattformen:
Red Hat Enterprise Linux 7.1 Extended Update Support
Mehrere Schwachstellen in der GNU Lib C ermöglichen auch einem entfernten,
nicht authentifizierten Angreifer das Ausspähen von Informationen,
Durchführen von Denial-of-Service-Angriffen und Ausführen beliebigen
Programmcodes.
Red Hat stellt für Red Hat Enterprise Linux 7.1 Extended Update Support
aktualisierte glibc Pakete zur Verfügung.
Patch:
Red Hat Security Advisory RHSA-2015:2589
http://rhn.redhat.com/errata/RHSA-2015-2589.html
CVE-2015-5277: Schwachstelle in GNU Lib C ermöglicht das Ausführen
beliebigen Programmcodes
Das “nss_files”-Backend des Name Service Switches in glibc liefert unter
bestimmten Umständen beim Parsen inkorrekte Daten an Anwendungen oder
bewirkt eine Korruption des Heaps. Ein lokaler, nicht authentisierter
Angreifer kann beliebigen Programmcode ausführen.
CVE-2015-1781: Pufferüberlauf-Schwachstelle in glibc
Eine Pufferüberlauf-Schwachstelle besteht in der Art und Weise, wie die
glibc-Funktionen gethostbyname_r() und andere die Größe eines Puffers
berechnen, wenn ein fehlerhaft angepasster Puffer als Eingabe übermittelt
wird. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, wenn er einen Anwendungsaufruf einer dieser
Funktionen mit einem fehlerhaften Puffer durchführen kann, um die Anwendung
zum Absturz zu bringen oder möglicherweise beliebigen Programmcode mit den
Rechten des Benutzers, der diese Anwendung ausführt, auszuführen.
CVE-2015-1473: Schwachstelle in GNU glibc ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Funktion __libc_use_alloca führt zu einer
fehlerhaften Berechnung, wie viel Speicher vom Stack angefordert werden
soll. Dadurch kann es zu einem Fehler bei der Speicheranforderung kommen,
weil diese größer ist als die Richtlinie der glibc zulässt. Ein entfernter,
nicht authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.
CVE-2015-1472: Schwachstelle in GNU glibc ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Datei stdio-common/vfscanf.c führt dazu, dass
unter bestimmten Bedingungen zu wenig Speicher angefordert wird und es zu
einem Heap-Speicherüberlauf kommt. Ein lokaler, nicht authentifizierter
Angreifer kann durch das Ausnutzen der Schwachstelle einen
Denial-of-Service-Angriff durchführen.
CVE-2013-7423: Schwachstelle in glibc ermöglicht das Ausspähen von
Informationen
Eine Schwachstelle in der Funktion getaddrinfo() führt dazu, dass unter
hoher Last DNS-Anfragen an zufällige Datei-Deskriptoren (z.B. TCP Ports),
die mit entfernten Diensten verbunden sind, gesendet werden. Ein entfernter,
nicht authentifizierter Angreifer kann Informationen ausspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1901/
Schwachstelle CVE-2013-7423 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7423
Schwachstelle CVE-2015-1472 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1472
Schwachstelle CVE-2015-1473 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1473
Schwachstelle CVE-2015-1781 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1781
Schwachstelle CVE-2015-5277 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5277
Red Hat Security Advisory RHSA-2015:2589:
http://rhn.redhat.com/errata/RHSA-2015-2589.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
