Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
PHP
Betroffene Plattformen:
SUSE Linux Enterprise Module for Web Scripting 12
SUSE Linux Enterprise Software Development Kit 12 SP1
Mehrere Schwachstellen in PHP ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Ausführen beliebigen Programmcodes,
Durchführen von Denial-of-Service (DoS)- und Cross-Site-Scripting
(XSS)-Angriffen sowie das Umleiten des ausgehenden HTTP-Verkehrs einer
Anwendung auf einen beliebigen, schädlichen Proxy-Server
(“httpoxy”-Problem).
Für SUSE Linux Enterprise Software Development Kit 12 SP1 und SUSE Linux
Enterprise Module for Web Scripting 12 stehen Sicherheitsupdates bereit.
Patch:
SUSE Security Update SUSE-SU-2016:1842-1
http://lists.suse.com/pipermail/sle-security-updates/2016-July/002163.html
CVE-2016-5385: Schwachstelle in PHP ermöglicht Umgehen von
Sicherheitsvorkehrungen
PHP bis einschließlich Version 7.0.8 versucht nicht, einen durch RFC 3875
Sektion 4.1.18 bedingten Namensraumkonflikt zu adressieren und schützt
deshalb Anwendungen nicht vor nicht vertrauenswürdigen Client-Daten in der
HTTP_PROXY-Umgebungsvariablen. Dadurch ist es mit Hilfe eines präparierten
Proxy-Headers in einer HTTP-Anfrage – beispielsweise mittels einer
Anwendung, die einen getenv(‘HTTP_PROXY’) Aufruf tätigt oder durch eine
bestimmte CGI-Konfiguration von PHP – möglich, den ausgehenden HTTP-Verkehr
einer Anwendung auf einen beliebigen Proxy-Server umzuleiten. Das Problem
ist unter dem Namen ‘httpoxy’ bekannt.
CVE-2015-8935: Schwachstelle in PHP ermöglicht Cross-Site-Scripting-Angriff
Die Filterung in der Funktion ‘header()’ ist nicht ausreichend, wodurch das
Einschleusen von Headern und Inhalten (Content) möglich ist, wenn als Client
der Microsoft Internet Explorer (IE) verwendet wird. Microsoft IE akzeptiert
‘%0A%20’ oder ‘%0D%0A%20’ als Separatoren in HTTP, während andere Browser
den neuen Zeilenanhang mit Leerzeichen als Fortsetzung des vorangehenden
Headers behandeln. Ein entfernter, nicht authentisierter Angreifer kann
einen Cross-Site-Scripting (XSS)-Angriff gegen Clients durchführen. Hiervon
sind alle getesteten Versionen des IE betroffen.
CVE-2016-5772: Schwachstelle in PHP ermöglicht Ausführung beliebigen
Programmcodes
Durch eine Schwachstelle in der Funktion ‘wddx_deserialize’ kann es bei der
Verarbeitung von speziell präparierten XML-Dateien zur Freigabe bereits
freigegebener Speicherbereiche kommen. Unter bestimmten Umständen kann die
Position des freigegebenen Speichers festgelegt werden, wodurch ein
entfernter, nicht authentifizierter Angreifer beliebigen Programmcode
ausführen kann.
CVE-2016-5771: Schwachstelle in PHP ermöglicht Ausführen beliebigen
Programmcodes
Es existiert eine Use-after-free-Schwachstelle in PHP aufgrund eines Fehlers
im Algorithmus des Garbage Collectors. Dies ermöglicht es den Garbage
Collector dazu zu veranlassen ein bestimmtes Speicher-Array freizugeben und
mittels gefälschtem ZVAL-Objekt den Zeiger(EIP/RIP) darauf zu übernehmen.
Ein entfernter, nicht authentifizierter Angreifer kann beliebigen
Programmcode ausführen.
CVE-2016-5770: Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff
Durch eine Typenverwechslung in ‘SplFileObject::fread’ in PHP kann es zum
Zugriff auf nicht zugewiesene Speicherbereiche und in der Folge zu einer
Schutzverletzung kommen. Ein entfernter, nicht authentifizierter Angreifer
kann einen Denial-of-Service-Angriff durchführen.
CVE-2016-5769: Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff
Es existiert eine Schwachstelle in der Funktion ‘mcrypt_generic’ in PHP
aufgrund fehlender Überprüfung des Berechnungsergebnisses für ‘data_size’,
mit dem im weiteren Programmablauf Speicher alloziert wird. Manipuliert ein
Angreifer den Wert ‘data_len’ auf einen sehr hohen Wert, wie beispielsweise
4.294.967.295 (INTEGER_MAX), kommt es im Zuge der Berechnung zu einem
Ganzzahlüberlauf, in dessen Folge viel weniger Speicher alloziert wird als
benötigt wird. Dadurch kann der Heap-Pufferspeicher zum Überlauf gebracht
werden, was einem entfernten, nicht authentifizierten Angreifer ermöglicht
einen Denial-of-Service-Angriff durchzuführen.
CVE-2016-5768: Schwachstelle in PHP ermöglicht Ausführung beliebigen
Programmcodes
Wenn die Funktion ‘_php_mb_regex_ereg_replace_exec’ von
‘mb_ereg_replace_callback’ aufgerufen wird, falls die Ausführung des
Callbacks fehlschlägt, kann es zur Freigabe eines bereits freigegebenen
Speicherbereichs kommen. Ein entfernter, nicht authentifizierter Angreifer,
der dieses Verhalten auslöst, kann dadurch möglicherweise beliebigen
Programmcode ausführen.
CVE-2016-5767: Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff
Es existiert eine Schwachstelle in PHP aufgrund eines Ganzzahlüberlaufs in
der Funktion ‘gdImagePaletteToTrueColor’. Dies ermöglicht es einem
entfernten, nicht authentifizierten Angreifer den Heap-Pufferspeicher zum
Überlauf zu bringen und in der Folge einen Denial-of-Service-Zustand
herbeizuführen.
CVE-2016-5766: Schwachstelle in PHP GD / libgd2 ermöglicht
Denial-of-Service-Angriff
Die Funktion ‘_gd2GetHeader’ kann für einen Ganzzahl-Überlauf (Integer
Overflow) ausgenutzt werden, welcher in der Folge zu einem Überlauf des
Heap-Speichers führt. Ein entfernter, nicht authentifizierter Angreifer kann
einen Denial-of-Service-Angriff (DoS) ausführen, indem er eine
Speicherschutzverletzung auslöst.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1178/
Schwachstelle CVE-2015-8935 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8935
Schwachstelle CVE-2016-5766 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5766
Schwachstelle CVE-2016-5767 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5767
Schwachstelle CVE-2016-5768 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5768
Schwachstelle CVE-2016-5769 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5769
Schwachstelle CVE-2016-5770 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5770
Schwachstelle CVE-2016-5771 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5771
Schwachstelle CVE-2016-5772 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5772
Schwachstelle CVE-2016-5385 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5385
SUSE Security Update SUSE-SU-2016:1842-1:
http://lists.suse.com/pipermail/sle-security-updates/2016-July/002163.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
