Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (19.02.2016):
F5 Networks informiert über die Betroffenheit seiner Produkte und
Versionen. Unter anderem ist BIG-IP Protocol Security Module in den
Versionen 11.0.0 – 11.4.1 und 10.1.0 – 10.2.4 verwundbar. Es stehen keine
Sicherheitsupdates zur Verfügung.
Version 2 (07.11.2013):
Patch für SUSE Linux Enterprise Server 10 SP3 LTSS verfügbar.
Version 1 (25.10.2013):
Neues Advisory
Betroffene Software:
GnuPG <= 1.4.14
Betroffene Plattformen:
F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.1.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4
F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1
Red Hat Enterprise Linux 5 Client
Red Hat Enterprise Linux 5 Server
SuSE SUSE Linux Enterprise Server 10 SP3 LTSS
Mehrere Schwachstellen in GnuPG ermöglichen einem entfernten, nicht
authentisierten Angreifer Zugriff auf vertrauliche Informationen zu
erlangen.
Patch:
Red Hat Security Advisory RHSA-2013-1458
http://rhn.redhat.com/errata/RHSA-2013-1458.html
Patch:
SuSE Hersteller-Advisory
https://www.suse.com/support/update/announcement/2013/suse-su-20131576-1.html
CVE-2013-4242: Schwachstelle in libcrypt
GnuPG und die Bibliothek libgcrypt sind anfällig für den
‘Flush+Reload’-Seitenkanalangriff, bei welchem die Zugriffe auf gemeinsam
genutzte Speicherseiten des L3-Caches beobachtet werden. Dabei können von
einem lokalen Angreifer bis zu 98% der Bits des privaten Schlüssels bei
einer einzigen Verschlüsselungs- oder Signaturoperation wiederhergestellt
werden. Betroffen sind alle Mehrbenutzersysteme, auch wenn die Operationen
in unterschiedlichen virtuellen Maschinen durchgeführt werden.
CVE-2012-6085: Schwachstelle beim Import von manipulierten
OpenPGP-Schlüsseln
In GnuPG kann eine Verletzung von Speicherstrukturen beim Import von
manipulierten OpenPGP-Schlüsseln auftreten. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um GnuPG zum
Absturz zu bringen und den Public-Keyring zu korrumpieren.
CVE-2013-4402: Schwachstelle im GnuPG Paket-Parser
Eine Schwachstelle bei GnuPG im Paket-Parser führt zu einer fehlerhaften
Verarbeitung von komprimierten Daten. Ein entfernter, nicht
authentifizierter Angreifer kann durch präparierte Eingabedaten eine
Endlosschleife erzeugen und einen Denial-of-Service-Zustand verursachen.
CVE-2013-4351: Fehlerhafte Schlüsselkennzeichenanzeige bei GnuPG
Eine Schwachstelle in GnuPG interpretiert die Schlüsselkennzeichen nicht
korrekt. Ein Angreifer kann durch einen präparierten Schlüssel oder
Unterschlüssel, bei dem alle Kennzeichen “an” sind, durch die fehlerhafte
Anzeige eine falsche Identifizierung gegenüber dem Benutzer und davon
ausgehend einen Verlust der Vertraulichkeit gesendeter Nachrichten
erreichen.
CVE-2013-4242: Schwachstelle in libcrypt
GnuPG und die Bibliothek libgcrypt sind anfällig für den
‘Flush+Reload’-Seitenkanalangriff, bei welchem die Zugriffe auf gemeinsam
genutzte Speicherseiten des L3-Caches beobachtet werden. Dabei können von
einem lokalen Angreifer bis zu 98% der Bits des privaten Schlüssels bei
einer einzigen Verschlüsselungs- oder Signaturoperation wiederhergestellt
werden. Betroffen sind alle Mehrbenutzersysteme, auch wenn die Operationen
in unterschiedlichen virtuellen Maschinen durchgeführt werden.
CVE-2012-6085: Schwachstelle beim Import von manipulierten
OpenPGP-Schlüsseln
In GnuPG kann eine Verletzung von Speicherstrukturen beim Import von
manipulierten OpenPGP-Schlüsseln auftreten. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um GnuPG zum
Absturz zu bringen und den Public-Keyring zu korrumpieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1841/
Schwachstelle CVE-2013-4242 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4242
Schwachstelle CVE-2013-4351 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4351
Schwachstelle CVE-2013-4402 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4402
Schwachstelle CVE-2012-6085 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-6085
Red Hat Security Advisory RHSA-2013-1458:
http://rhn.redhat.com/errata/RHSA-2013-1458.html
SuSE Hersteller-Advisory:
https://www.suse.com/support/update/announcement/2013/suse-su-20131576-1.html
F5 Networks Security Advisory sol11785283:
http://support.f5.com/kb/en-us/solutions/public/k/11/sol11785283.html?ref=rss
F5 Networks Security Advisory sol40131068:
http://support.f5.com/kb/en-us/solutions/public/k/40/sol40131068.html?ref=rss
F5 Networks Security Advisory sol50413110:
http://support.f5.com/kb/en-us/solutions/public/k/50/sol50413110.html?ref=rss
F5 Networks Security Advisory sol75253136:
http://support.f5.com/kb/en-us/solutions/public/k/75/sol75253136.html?ref=rss
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
