Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Dropbear SSH Server < 2016.72 Betroffene Plattformen: Red Hat Fedora 22 Red Hat Fedora 23 Red Hat Fedora 24 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Ein entfernter, nicht authentifizierter Angreifer kann durch speziell präparierte Anfragen die Sicherheitsbeschränkung 'command=' in 'authorized_keys' umgehen, die den Benutzer auf einen einzelnen ausführbaren Befehl einschränkt. Für die Distributionen Fedora 22, 23 und 24 sowie für Fedora EPEL 6 und 7 stehen Sicherheitsupdates auf Dropbear SSH 2016.72 im status 'testing' (Fedora 22, Fedora EPEL 7) und 'pending' (Fedora 23 und 24, Fedora EPEL 6) bereit. Patch: Fedora Security Update FEDORA-2016-332491de28 (Fedora 23) https://bodhi.fedoraproject.org/updates/FEDORA-2016-332491de28

Patch:

Fedora Security Update FEDORA-2016-40a657cee1 (Fedora 22)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-40a657cee1

Patch:

Fedora Security Update FEDORA-2016-bc45faa824 (Fedora 24)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-bc45faa824

Patch:

Fedora Security Update FEDORA-EPEL-2016-785fc9a2ea (Fedora EPEL 7)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-785fc9a2ea

Patch:

Fedora Security Update FEDORA-EPEL-2016-8fbd838843 (Fedora EPEL 6)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-8fbd838843

CVE-2016-3116: Schwachstelle in Dropbear SSH ermöglicht Umgehen von
Sicherheitsvorkehrungen

Es existiert eine nicht näher beschriebene Schwachstelle in Dropbear SSH
aufgrund der unzureichenden Validierung von weitergereichten Eingaben aus
X11.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0445/

Schwachstelle CVE-2016-3116 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3116

Fedora Security Update FEDORA-2016-332491de28 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-332491de28

Fedora Security Update FEDORA-2016-40a657cee1 (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-40a657cee1

Fedora Security Update FEDORA-2016-bc45faa824 (Fedora 24):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-bc45faa824

Fedora Security Update FEDORA-EPEL-2016-785fc9a2ea (Fedora EPEL 7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-785fc9a2ea

Fedora Security Update FEDORA-EPEL-2016-8fbd838843 (Fedora EPEL 6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-8fbd838843

Schwachstelle CVE-2016-3116 (Red Hat):
https://bugzilla.redhat.com/show_bug.cgi?id=1316825

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.