Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
KeePassX <= 0.4.3 Betroffene Plattformen: Apple Mac OS X Microsoft Windows Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Ein entfernter, einfach authentifizierter Angreifer kann mit Hilfe eines arglosen Benutzers Informationen ausspähen. Darüber hinaus kann ein lokaler, nicht authentifizierter Angreifer auf Windows-Systemen beliebigen Programmcode mit den Rechten des Dienstes ausführen. KeePassX stellt zur Behebung der Schwachstellen ein Sicherheitsupdate auf Version 0.4.4 bereit. Der Versionszweig 2.0 ist nicht betroffen. Fredora stellt für die Distributionen Fedora EPEL 6 und 7 mit den Paketen keepassx-0.4.4-1.el6 und keepassx-0.4.4-1.el7 Sicherheitsupdates bereit. Patch: Fedora Update FEDORA-EPEL-2016-43613cf75a https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-43613cf75a
Patch:
Fedora Update FEDORA-EPEL-2016-7601108cdf
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7601108cdf
Patch:
Release Notes KeePassX 0.4.4
https://www.keepassx.org/news/2015/12/551
CVE-2015-8378: Schwachstelle in KeePassX ermöglicht Ausspähen von
Informationen
Die Exportfunktion von KeePassX erzeugt eine versteckte, lokale XML-Datei,
in der Passwörter im Klartext gespeichert sind, wenn ein Benutzer den Export
während der Ausführung abbricht. Ein entfernter, einfach authentifizierter
Angreifer, der einen Benutzer dazu bringt, solch eine versteckte Datei
freizugeben, kann Informationen ausspähen und darüber hinaus möglicherweise
Benutzerrechte erlangen.
CVE-2015-8359: Schwachstelle in KeePassX ermöglicht Ausführung beliebigen
Programmcodes mit den Rechten des Dienstes
Die Version von Qt, auf die KeePassX zurückgreift, ist durch eine
DLL-Injektions-Schwachstelle verwundbar. Damit kann ein ein lokaler, nicht
authentifizierter Angreifer speziell präparierte Programmbibliotheken von
KeePassX laden lassen und in der Folge auf Windows-Systemen beliebigen
Programmcode mit den Rechten des Dienstes ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0183/
Schwachstelle CVE-2015-8378 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8378
Fedora Update FEDORA-EPEL-2016-43613cf75a:
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-43613cf75a
Fedora Update FEDORA-EPEL-2016-7601108cdf:
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7601108cdf
Release Notes KeePassX 0.4.4:
https://www.keepassx.org/news/2015/12/551
Schwachstelle CVE-2015-8359 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8359
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
