Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
libxslt <= 1.1.28 Betroffene Plattformen: Debian Linux 8.4 Jessie Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe speziell präparierter XML-Daten einen Denial-of-Service (DoS)-Angriff durchführen und beliebigen Programmcode ausführen oder Informationen ausspähen. Für die stabile Distribution Debian Jessie (8.4) steht ein Sicherheitsupdate zur Verfügung. Patch: Debian Security Advisory DSA-3605-1 https://www.debian.org/security/2016/dsa-3605
CVE-2016-1684: Schwachstelle in libxslt ermöglicht Denial-of-Service-Angriff
In der Bibliothek libxslt vor Version 1.1.29, die unter anderem in Google
Chrome und Chromium vor Version 51.0.2704.63 verwendet wird, existiert eine
nicht näher spezifizierte Schwachstelle in der Bibliothek libxslt, durch die
es zu einem Ganzzahl-Überlauf (Integer Overflow) kommen kann. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen und einen Denial-of-Service (DoS)-Angriff durchführen.
CVE-2016-1683: Schwachstelle in libxslt ermöglicht Denial-of-Service-Angriff
In der Bibliothek libxslt vor Version 1.1.29, die unter anderem in Google
Chrome und Chromium vor Version 51.0.2704.63 verwendet wird, existiert eine
nicht näher spezifizierte Schwachstelle, durch die es möglich ist auf
Speicher außerhalb des zugewiesenen Speicherbereichs zugreifen
(Out-of-bounds Access). Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen und einen Denial-of-Service (DoS)-Angriff
durchführen.
CVE-2015-7995: Type-Confusion-Schwachstelle in libxslt ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine Schwachstelle in der Funktion “xsltStylePreCompute” in
libxslt, weil nicht geprüft wird, ob ein übergeordneter Knoten ein Element
ist. Dies ermöglicht es, mit einer präparierten XML-Datei eine
Typenverwechslung zu verursachen. Ein entfernter, nicht authentifizierter
Angreifer kann einen Denial-of-Service-Angriff durch- oder beliebigen
Programmcode ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0991/
Schwachstelle CVE-2015-7995 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7995
Schwachstelle CVE-2016-1683 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1683
Schwachstelle CVE-2016-1684 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1684
Debian Security Advisory DSA-3605-1:
https://www.debian.org/security/2016/dsa-3605
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
