Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (15.02.2016):
Debian stellt für die Distributionen Wheezy (oldstable) und Jessie
(stable) Sicherheitsupdates auf die aktuellen Releases von PostgreSQL 9.1,
bzw. 9.4 zur Verfügung. Die Schwachstelle CVE-2015-5288 wurde hier mit
aufgenommen, da sie für Linux Wheezy mit diesem Sicherheitsupdate
adressiert wird, während sie für Jessie bereits mit DSA-3374-1 für
postgresql-9.4 behoben wurde.
Version 1 (12.02.2016):
Neues Advisory
Betroffene Software:
PostgreSQL 9.1
PostgreSQL 9.2
PostgreSQL 9.3
PostgreSQL 9.4
PostgreSQL 9.5
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 15.10
Debian Linux 7.9 Wheezy
Debian Linux 8.3 Jessie
GNU/Linux
Microsoft Windows
Red Hat Fedora 22
Red Hat Fedora 23
Es existiert eine Schwachstelle in PostgreSQL, die einem entfernten, nicht
authentifizierten Angreifer einen Denial-of-Service-Angriff ermöglicht. Eine
weitere Schwachstelle in der Erweiterung PL/Java für PostgreSQL ermöglicht
einem entfernten, einfach authentifizierten Angreifer die Eskalation seiner
Privilegien.
Die PostgreSQL Global Development Group stellt Sicherheitsupdates auf die
Versionen 9.5.1, 9.4.6, 9.3.11, 9.2.15 und 9.1.20 bereit, die diese
Schwachstellen beheben.
Fedora stellt für die Distributionen Fedora 22 und 23 mit den Paketen
postgresql-9.4.6-1.fc22 und postgresql-9.4.6-1.fc23 Sicherheitsupdates im
Status ‘pending’ zur Verfügung.
Canonical stellt für Ubuntu 15.10 ein Sicherheitsupdate auf die Version
9.4.6, für Ubuntu 14.04 LTS auf Version 9.3.11 und für Ubuntu 12.04 LTS auf
Version 9.1.20 bereit.
Patch:
Fedora Security Update FEDORA-2016-b0c2412ab2 (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-b0c2412ab2
Patch:
Fedora Security Update FEDORA-2016-e0a6c9ebc4 (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-e0a6c9ebc4
Patch:
PostgreSQL Security Update 9.5.1, 9.4.6, 9.3.11, 9.2.15 und 9.1.20
http://www.postgresql.org/about/news/1644/
Patch:
Ubuntu Security Notice USN-2894-1
http://www.ubuntu.com/usn/usn-2894-1/
Patch:
Debian Security Advisory DSA-3475-1
https://www.debian.org/security/2016/dsa-3475
Patch:
Debian Security Advisory DSA-3476-1
https://www.debian.org/security/2016/dsa-3476
CVE-2016-0773: Schwachstelle in PostgreSQL ermöglicht
Denial-of-Service-Angriff
Durch die fehlerhafte Behandlung von regulären Ausdrücken in PostgreSQL, die
große Zeichenbereiche in Klammerausdrücken beinhalten, kann es zu
Endlosschleifen und zur Überschreibung von Speicherbereichen in der
Komponente ‘core server’ kommen. Ein entfernter, nicht authentifizierter
Angreifer kann einen Denial-of-Service-Angriff ausführen.
CVE-2016-0766: Schwachstelle in PL/Java ermöglicht Privilegieneskalation
Eine Schwachstelle in der Erweiterung PL/Java für PostgreSQL ermöglicht die
Veränderung der Variablen ‘pljava.classpath’ und ‘pljava.vmoptions’ durch
Benutzer ohne sichere Berechtigungen. Ein entfernter, einfach
authentifizierter Angreifer kann dadurch seine Privilegien eskalieren.
CVE-2015-5288: Schwachstelle in PostgreSQL ermöglicht Ausspähen von
Informationen
Es existiert eine Schwachstelle in der Funktion crypt() in PostgreSQL, die
durch eine fehlerhafte Speicherbehandlung hervorgerufen wird. Bei der
Verwendung der optionalen Erweiterung pgCrypto, können bei einem
Speicherzugriff zusätzliche Bytes ausgelesen werden. Ein entfernter, nicht
authentifizierter Angreifer kann Informationen ausspähen oder einen
Denial-of-Service-Angriff durchführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0257/
PostgreSQL Security Information:
http://www.postgresql.org/support/security/
Schwachstelle CVE-2015-5288 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5288
Fedora Security Update FEDORA-2016-b0c2412ab2 (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-b0c2412ab2
Fedora Security Update FEDORA-2016-e0a6c9ebc4 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-e0a6c9ebc4
PostgreSQL Security Update 9.5.1, 9.4.6, 9.3.11, 9.2.15 und 9.1.20:
http://www.postgresql.org/about/news/1644/
Schwachstelle CVE-2016-0766 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0766
Schwachstelle CVE-2016-0773 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0773
Ubuntu Security Notice USN-2894-1:
http://www.ubuntu.com/usn/usn-2894-1/
Debian Security Advisory DSA-3475-1:
https://www.debian.org/security/2016/dsa-3475
Debian Security Advisory DSA-3476-1:
https://www.debian.org/security/2016/dsa-3476
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
