Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 9 (14.12.2015):
Für die Distributionen openSUSE 13.1 und 13.2 werden neue
Sicherheitsupdates für libpng12 und libpng16 zur Verfügung gestellt, da
sich der ursprünglich Fix für die unter CVE-2015-8126 zusammengefassten
Pufferüberlauf-Schwachstellen, die einem entfernten, nicht authentisierten
Angreifer die Durchführung von Denial-of-Service (DoS)-Angriffen
ermöglichen, als unvollständig herausgestellt hat.
Version 8 (07.12.2015):
Für Fedora 22, 23 und EPEL 6 werden Sicherheitsupdates in Form der Pakete
libpng10-1.0.65-1.fc22, libpng10-1.0.65-1.fc23 und libpng10-1.0.65-1.el6
im Status ‘testing’ zur Verfügung gestellt, da sich der mit der vorherigen
Version 1.0.64 bereitgestellte Fix für die unter CVE-2015-8126
zusammengefassten Pufferüberlauf-Schwachstellen, die einem entfernten,
nicht authentisierten Angreifer die Durchführung von Denial-of-Service
(DoS)-Angriffen ermöglichen, als unvollständig herausgestellt hat. Die
betreffenden Sicherheitsupdates verbleiben aber weiterhin im Status
‘stable’.
Version 7 (30.11.2015):
Für openSUSE Leap 42.1 werden Sicherheitsupdates in Form aktualisierter
Pakete von ‘libpng12’ und ‘libpng16’ zur Verfügung gestellt. Mit dem
Sicherheitsupdate für ‘libpng12’ werden beide Schwachstellen adressiert;
jenes für ‘libpng16’ adressiert nur die unter CVE-2015-8126
zusammengefassten Pufferüberlauf-Schwachstellen, die einem entfernten,
nicht authentisierten Angreifer die Durchführung von Denial-of-Service
(DoS)-Angriffen ermöglichen.
Version 6 (26.11.2015):
Für openSUSE 13.1 und openSUSE 13.2 werden Sicherheitsupdates in Form
aktualisierter Pakete von ‘libpng12’ und ‘libpng16’ bereitgestellt. Mit
dem Sicherheitsupdate für ‘libpng12’ werden beide Schwachstellen
adressiert; jenes für ‘libpng16’ betrifft nur die unter CVE-2015-8126
zusammengefassten Pufferüberlauf-Schwachstellen, die einem entfernten,
nicht authentisierten Angreifer die Durchführung von Denial-of-Service
(DoS)-Angriffen ermöglichen.
Version 5 (19.11.2015):
Für Fedora 21, 22 und 23 werden verschiedene Sicherheitsupdates in Form
der Pakete libpng15-1.5.21-2.fc22, libpng15-1.5.22-3.fc23,
libpng-1.6.16-5.fc22, libpng-1.6.17-4.fc23, libpng-1.6.16-4.fc22,
libpng-1.6.17-3.fc23, mingw-libpng-1.6.19-1.fc21,
mingw-libpng-1.6.19-1.fc22 und mingw-libpng-1.6.19-1.fc23 im Status
‘testing’ zur Verfügung gestellt, welche die unter CVE-2015-8126
zusammengefassten Pufferüberlauf-Schwachstellen adressieren, die einem
entfernten, nicht authentisierten Angreifer die Durchführung von
Denial-of-Service (DoS)-Angriffen ermöglichen.
Version 4 (19.11.2015):
Für die Distributionen Debian Wheezy (7.9) und Debian Jessie (8.2) werden
verschiedene Sicherheitsupdates zur Verfügung gestellt, die neben der
zuerst beschriebenen CVE-2015-7981 auch die unter CVE-2015-8126
zusammengefassten Pufferüberlauf-Schwachstellen beheben, welche einem
entfernten, nicht authentisierten Angreifer die Durchführung von
Denial-of-Service (DoS)-Angriffen ermöglichen.
Version 3 (18.11.2015):
Für die Distributionen SUSE Linux Enterprise Software Development Kit 12
und 11 SP4 / SP3, Server 12 und 11 SP4 / SP3, Server for VMWare 11 SP3
sowie Desktop 12, 11 SP4 / SP3 werden verschiedene Sicherheitsupdates zur
Verfügung gestellt, die neben der oben genannten CVE-2015-7981 auch die
unter CVE-2015-8126 zusammengefassten Pufferüberlauf-Schwachstellen
beheben, welche einem entfernten, nicht authentisierten Angreifer die
Durchführung von Denial-of-Service (DoS)-Angriffen ermöglichen.
Version 2 (17.11.2015):
Mehrere Pufferüberlauf-Schwachstellen wurden von NVD unter CVE-2015-8126
zusammengefasst, welche deshalb mit aufgenommen wurde. Die Schwachstellen
ermöglichen einem entfernten, nicht authentisierten Angreifer die
Durchführung von Denial-of-Service (DoS)-Angriffen. Die
PNG-Entwicklergruppe hat die fehlerbereinigten Versionen libpng-1.5.24 und
libpng-1.6.19 sowie für ‘legacy”-Anwendungen die Versionen libpng-1.4.17,
libpng-1.2.54 und libpng-1.0.64 zur Verfügung gestellt.
Version 1 (13.11.2015):
Neues Advisory
Betroffene Software:
Bibliothek libpng <= 1.0.64 Bibliothek libpng <= 1.2.53 Bibliothek libpng <= 1.4.16 Bibliothek libpng <= 1.5.23 Bibliothek libpng <= 1.6.18 Betroffene Plattformen: SUSE Linux Enterprise Software Development Kit 11 SP3 SUSE Linux Enterprise Software Development Kit 11 SP4 SUSE Linux Enterprise Software Development Kit 12 Debian Linux 7.9 Wheezy Debian Linux 8.2 Jessie openSUSE 13.1 openSUSE 13.2 openSUSE Leap 42.1 SUSE Linux Enterprise Desktop 11 SP3 SUSE Linux Enterprise Desktop 11 SP4 SUSE Linux Enterprise Desktop 12 SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 for VMware SUSE Linux Enterprise Server 11 SP4 SUSE Linux Enterprise Server 12 Red Hat Fedora 21 Red Hat Fedora 22 Red Hat Fedora 23 Extra Packages for Red Hat Enterprise Linux 6 Eine Schwachstelle in libpng ermöglicht einem entfernten, authentisierten Angreifer das Ausspähen von Informationen. Für Fedora 21, 22 und 23 sowie EPEL 6 werden Sicherheitsupdates in Form der Pakete libpng10-1.0.64-1.fc21, libpng10-1.0.64-1.fc22, libpng10-1.0.64-1.fc23 und libpng10-1.0.64-1.el6 im Status 'testing' zur Verfügung gestellt. Patch: Fedora Security Update FEDORA-2015-1d87313b7c (Fedora 23) https://bodhi.fedoraproject.org/updates/FEDORA-2015-1d87313b7c
Patch:
Fedora Security Update FEDORA-2015-501493d853 (Fedora 21)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-501493d853
Patch:
Fedora Security Update FEDORA-2015-ec2ddd15d7 (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-ec2ddd15d7
Patch:
Fedora Security Update FEDORA-EPEL-2015-260d131310 (EPEL 6)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-260d131310
Patch:
PNG Reference Library Security Updates
http://libpng.sourceforge.net/
Patch:
SUSE Security Update SUSE-SU-2015:2013-1
https://www.suse.com/support/update/announcement/2015/suse-su-20152013-1.html
Patch:
SUSE Security Update SUSE-SU-2015:2017-1
https://www.suse.com/support/update/announcement/2015/suse-su-20152017-1.html
Patch:
SUSE Security Update SUSE-SU-2015:2024-1
https://www.suse.com/support/update/announcement/2015/suse-su-20152024-1.html
Patch:
Debian Security Advisory DSA-3399-1
https://www.debian.org/security/2015/dsa-3399
Patch:
Fedora Security Update FEDORA-2015-13668fff74 (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-13668fff74
Patch:
Fedora Security Update FEDORA-2015-1943310658 (Fedora 23, libpng15)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-1943310658
Patch:
Fedora Security Update FEDORA-2015-4ad4998d00 (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-4ad4998d00
Patch:
Fedora Security Update FEDORA-2015-5e52306c9c (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-5e52306c9c
Patch:
Fedora Security Update FEDORA-2015-6c07ab1fa6 (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-6c07ab1fa6
Patch:
Fedora Security Update FEDORA-2015-7dfbe09bb4 (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-7dfbe09bb4
Patch:
Fedora Security Update FEDORA-2015-8a1243db75 (Fedora 21)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-8a1243db75
Patch:
Fedora Security Update FEDORA-2015-97fc1797fa (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-97fc1797fa
Patch:
Fedora Security Update FEDORA-2015-e5e4ecf80d (Fedora 22, libpng15)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-e5e4ecf80d
Patch:
openSUSE Security Update openSUSE-SU-2015:2099-1
http://lists.opensuse.org/opensuse-updates/2015-11/msg00135.html
Patch:
openSUSE Security Update openSUSE-SU-2015:2100-1
http://lists.opensuse.org/opensuse-updates/2015-11/msg00136.html
Patch:
openSUSE Security Update openSUSE-SU-2015:2135-1
http://lists.opensuse.org/opensuse-updates/2015-11/msg00159.html
Patch:
openSUSE Security Update openSUSE-SU-2015:2136-1
http://lists.opensuse.org/opensuse-updates/2015-11/msg00160.html
Patch:
Fedora Security Update FEDORA-2015-3461e976cb (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-3461e976cb
Patch:
Fedora Security Update FEDORA-2015-8c475f7169 (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-8c475f7169
Patch:
Fedora Security Update FEDORA-EPEL-2015-e3bc44964c (EPEL 6)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-e3bc44964c
Patch:
openSUSE Security Update openSUSE-SU-2015:2262-1
http://lists.opensuse.org/opensuse-updates/2015-12/msg00062.html
Patch:
openSUSE Security Update openSUSE-SU-2015:2263-1
http://lists.opensuse.org/opensuse-updates/2015-12/msg00063.html
CVE-2015-8126: Schwachstellen in libpng erlauben Denial-of-Service-Angriffe
Mehrere Pufferüberlauf-Schwachstellen existierten in den Funktionen (1)
‘png_set_PLTE’ und (2) ‘png_get_PLTE’ in libpng bevor 1.0.64, 1.1.x und
1.2.x bevor 1.2.54, 1.3.x und 1.4.x bevor 1.4.17, 1.5.x bevor 1.5.24 und
1.6.x bevor 1.6.19. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstellen ausnutzen, mittels eines kleinen ‘bit-depth’-Wertes in
einem IHDR (aka image header) Chunk in einer PNG-Bilddatei, um einen Absturz
der Anwendung (Denial-of-Service) zu verursachen oder möglicherweise weitere
Angriffe durchzuführen.
CVE-2015-7981: Schwachstelle in libpng erlaubt Ausspähen von Informationen
In der Funktion ‘png_convert_to_rfc1123()’ in png.c existiert eine
Schwachstelle, die bei der Transformation von Bildern zu einem Lesen über
Speicherbegrenzungen hinaus führt (“out-of-bounds read”). Ein entfernter,
einfach authentisierter Benutzer, als Angreifer, kann diese Schwachstelle
ausnutzen, mittels einer schädlichen, präparierten Bilddatei im
‘png’-Format, um durch Offenlegung von Speicherinhalten einer Anwendung
potentiell sensible Informationen auszuspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1762/
Schwachstelle CVE-2015-7981 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7981
Fedora Security Update FEDORA-2015-1d87313b7c (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-1d87313b7c
Fedora Security Update FEDORA-2015-501493d853 (Fedora 21):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-501493d853
Fedora Security Update FEDORA-2015-ec2ddd15d7 (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-ec2ddd15d7
Fedora Security Update FEDORA-EPEL-2015-260d131310 (EPEL 6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-260d131310
Schwachstelle CVE-2015-8126 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8126
PNG Reference Library Security Updates:
http://libpng.sourceforge.net/
SUSE Security Update SUSE-SU-2015:2013-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152013-1.html
SUSE Security Update SUSE-SU-2015:2017-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152017-1.html
SUSE Security Update SUSE-SU-2015:2024-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152024-1.html
Debian Security Advisory DSA-3399-1:
https://www.debian.org/security/2015/dsa-3399
Fedora Security Update FEDORA-2015-13668fff74 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-13668fff74
Fedora Security Update FEDORA-2015-1943310658 (Fedora 23, libpng15):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-1943310658
Fedora Security Update FEDORA-2015-4ad4998d00 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-4ad4998d00
Fedora Security Update FEDORA-2015-5e52306c9c (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-5e52306c9c
Fedora Security Update FEDORA-2015-6c07ab1fa6 (Fedora 22) :
https://bodhi.fedoraproject.org/updates/FEDORA-2015-6c07ab1fa6
Fedora Security Update FEDORA-2015-7dfbe09bb4 (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-7dfbe09bb4
Fedora Security Update FEDORA-2015-8a1243db75 (Fedora 21):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-8a1243db75
Fedora Security Update FEDORA-2015-97fc1797fa (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-97fc1797fa
Fedora Security Update FEDORA-2015-e5e4ecf80d (Fedora 22, libpng15):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-e5e4ecf80d
openSUSE Security Update openSUSE-SU-2015:2099-1:
http://lists.opensuse.org/opensuse-updates/2015-11/msg00135.html
openSUSE Security Update openSUSE-SU-2015:2100-1:
http://lists.opensuse.org/opensuse-updates/2015-11/msg00136.html
openSUSE Security Update openSUSE-SU-2015:2135-1:
http://lists.opensuse.org/opensuse-updates/2015-11/msg00159.html
openSUSE Security Update openSUSE-SU-2015:2136-1:
http://lists.opensuse.org/opensuse-updates/2015-11/msg00160.html
Fedora Security Update FEDORA-2015-3461e976cb (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-3461e976cb
Fedora Security Update FEDORA-2015-8c475f7169 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-8c475f7169
Fedora Security Update FEDORA-EPEL-2015-e3bc44964c (EPEL 6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-e3bc44964c
openSUSE Security Update openSUSE-SU-2015:2262-1:
http://lists.opensuse.org/opensuse-updates/2015-12/msg00062.html
openSUSE Security Update openSUSE-SU-2015:2263-1:
http://lists.opensuse.org/opensuse-updates/2015-12/msg00063.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
