Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 16 (21.07.2016):
IBM informiert darüber, dass AIX 5.3, 6.1, 7.1 und 7.2 sowie VIOS 2.2.x
von diesen Schwachstellen betroffen sind und stellt Sicherheitsupdates in
Form von Fixes für verschiedene OpenSSL Versionen zur Verfügung.
Version 15 (23.06.2016):
Cisco aktualisiert den referenzierten Sicherheitshinweis und teilt mit,
dass unter anderem die Produkte Cisco WebEx Node for MCS, Cisco ACE 30
Application Control Engine Module, Cisco ACE 4710 Application Control
Engine (A5), Cisco Wide Area Application Services (WAAS), Cisco
Application Policy Infrastructure Controller, Cisco ASR 5000 Series, Cisco
IOS XR Software, Cisco Unified Contact Center Express, Cisco Enterprise
Content Delivery System (ECDS), Cisco TelePresence Conductor, Cisco
TelePresence EX Series, Cisco TelePresence MX Series, Cisco TelePresence
Serial Gateway Series, Cisco TelePresence Server 8710 und 7010, Cisco
TelePresence Video Communication Server sowie Cisco TelePresence
Integrator C Series durch mindestens eine der Schwachstellen verwundbar
sind. Für die meisten verwundbaren Produkte von Cisco werden die
Sicherheitsupdates terminiert oder stehen bereits zur Verfügung.
Version 14 (03.06.2016):
F5 Networks aktualisiert den referenzierten Sicherheitshinweis sol93600123
für CVE-2016-2107 und informiert darüber, dass unter anderem BIG-IP
Protocol Security Module (PSM) in den Versionen 10.2.1 – 10.2.4, 11.2.1
und 11.4.0 – 11.4.1 auf F5-Plattformen mit AES-NI-Unterstützung verwundbar
ist. Es stehen noch keine Sicherheitsupdates für BIG-IP PSM zur Verfügung.
Version 13 (20.05.2016):
F5 Networks veröffentlicht weitere Sicherheitsmeldungen für dedizierte
Schwachstellen: sol51920288 für CVE-2016-2105, sol36488941 für
CVE-2016-2106 und sol75152412 für CVE-2016-2108. Unter anderem wird in den
Meldungen das BIG-IP Protocol Security Module (PSM) in den Versionen
10.2.1 – 10.2.4 , 11.2.1 und 11.4.0 – 11.4.1 als verwundbar benannt. Die
Meldung sol07538415 bezieht sich jetzt auf alle Schwachstellen aus dem
OpenSSL Security Advisory vom 03. Mai 2016.
Version 12 (19.05.2016):
Cisco aktualisiert den referenzierten Sicherheitshinweis und teilt mit,
dass unter anderem die Cisco Video Distribution Suite for Internet
Streaming (VDS-IS/CDS-IS) und der Cisco Aironet 2700 Series Access Point
durch mindestens eine der Schwachstellen verwundbar sind. Für die meisten
verwundbaren Produkte von Cisco werden die Sicherheitsupdates terminiert
oder stehen bereits zur Verfügung.
Version 11 (17.05.2016):
Cisco ergänzt die Liste der verwundbaren Produkte erneut und benennt jetzt
u.a. auch die FireSIGHT System Software, Email Security Appliance und
verschiedene TelePresence Produkte als von mindestens einer der
Schwachstellen betroffen.
Version 10 (13.05.2016):
Für verschiedene SUSE-Produkte stehen Sicherheitsupdates zur Verfügung,
die die referenzierten Schwachstellen mit Ausnahme von CVE-2016-2107 und
CVE-2016-2176 beheben. Zusätzlich wird die Schwachshtelle CVE-2016-0702
(‘Cachebleed’) behoben, die zum Umgehen von Sicherheitsvorkehrungen
ausgenutzt werden kann. Als betroffene Produkte werden unter anderem SUSE
Studio Onsite 1.3, SUSE OpenStack Cloud 5, SUSE Manager Proxy 2.1, SUSE
Manager 2.1, SUSE Linux Enterprise Software Development Kit 11-SP4 und
SUSE Linux Enterprise Server in den Versionen 11-SP2-LTSS, 11-SP3-LTSS und
11-SP4 genannt.
Version 9 (11.05.2016):
Für die Distributionen Fedora 23 und Fedora 24 stehen Sicherheitsupdates
in Form der Pakete
mingw-openssl-1.0.2h-1.fc23 und mingw-openssl-1.0.2h-1.fc24 in Status
‘pending’ zur Verfügung, die neben den Schwachstellen CVE-2016-2105 bis
CVE-2016-2109 auch die Denial-of-Service-Schwachstellen CVE-2015-3197,
CVE-2016-0705 und CVE-2016-0799 adressieren. Das für Fedora EPEL 7
verfügbare Sicherheitsupdate mingw-openssl-1.0.2h-1.el7 befindet sich
ebenfalls im Status ‘pending’ und adressiert die Schwachstellen
CVE-2016-2105 bis CVE-2016-2108.
Für openSUSE Leap 42.1 steht ein Sicherheitsupdate für compat-openssl098
bereit, welches die Schwachstellen CVE-2016-2105, CVE-2016-2106,
CVE-2016-2108 und CVE-2016-2109 sowie CVE-2016-0702, die zum Umgehen von
Sicherheitsvorkehrungen ausgenutzt werden kann, behebt.
Version 8 (10.05.2016):
Für die Red Hat Enterprise Linux 6 Produkte Desktop, HPC Node, Server und
Workstation werden Sicherheitsupdates für OpenSSL bereitgestellt, die die
Schwachstellen CVE-2016-2105 bis CVE-2016-2109 sowie die
Denial-of-Service-Schwachstellen CVE-2016-0799 und CVE-2016-2842
adressieren.
Im Rahmen der kontinuierlichen Veröffentlichung von Analyseergebnissen
benennt Cisco nun unter anderem verschiedene AnyConnect Secure Mobility
Clients als verwundbar, erweitert die Liste der betroffenen Nexus Geräte
und führt die Cisco IOS und IOS-XE Software auf. Für IOS und IOS-XE ist
ein Sicherheitsupdate auf die Version 16.3.1 angekündigt, die am 16. Mai
zur Verfügung stehen soll.
Version 7 (09.05.2016):
Für SUSE Linux Enterprise Module for Legacy Software 12 sowie SUSE Linux
Enterprise Desktop 12 und 12 SP1 stehen Sicherheitsupdates für
compat-openssl098 bereit, welche die hier aufgeführten Schwachstellen
CVE-2016-2105, CVE-2016-2106, CVE-2016-2108 und CVE-2016-2109 sowie die
Schwachstelle CVE-2016-0702, die zum Umgehen von Sicherheitsvorkehrungen
ausgenutzt werden kann, adressieren.
Version 6 (09.05.2016):
Red Hat stellt für die Red Hat Enterprise Linux 7 Produkte Desktop, HPC
Node, Server und Workstation sowie für HPC Node EUS 7.2, Server AUS 7.2
und Server EUS 7.2 Sicherheitsupdates für OpenSSL bereit. Über die
Sicherheitsupdates werden die Schwachstellen CVE-2016-2105 bis
CVE-2016-2109 sowie die Denial-of-Service-Schwachstellen CVE-2016-0799 und
CVE-2016-2842 adressiert.
F5 Networks veröffentlicht weitere Sicherheitsmeldungen für dedizierte
Schwachstellen. Die Meldung sol07538415 bezieht sich jetzt auf die
Schwachstellen CVE-2016-2105, CVE-2016-2106 und CVE-2016-2108 und die
Meldung sol93600123 auf die Schwachstelle CVE-2016-2107. Derzeit liegen
noch keine Erkenntnisse bezüglich der Verwundbarkeit von BIG-IP Produkten
über diese Schwachstellen vor. Weiterhin wird die Sicherheitsmeldung
sol23230229 für die Schwachstelle CVE-2016-2109 veröffentlicht, die unter
anderem die BIG-IP Protocol Security Module (PSM) Versionen 10.2.1 –
10.2.4 und 11.4.0 – 11.4.1 als verwundbar benennt. Mittels der Meldung
sol47145213 wird darüber informiert, dass keins der bisher untersuchten
BIG-IP Produkte über die Schwachstelle CVE-2016-2176 angreifbar ist.
Version 5 (06.05.2016):
Für die SUSE Linux Enterprise Produkte Software Development Kit 12 SP1,
Server 12 SP1 und Desktop 12 SP1 sowie openSUSE 13.1, openSUSE 13.2 und
openSUSE Leap 42.1 stehen Sicherheitsupdates für OpenSSL bereit, die die
referenzierten Schwachstellen mit Ausnahme von CVE-2016-2176 adressieren.
Für openSUSE 13.1, openSUSE 13.2 und openSUSE Leap 42.1 stehen zusätzlich
Sicherheitsupdates für libopenssl0_9_8 zur Verfügung. Neben den
Schwachstellen CVE-2016-2105, CVE-2016-2106, CVE-2016-2108 und
CVE-2016-2109 wird für alle drei Distributionen auch die Schwachstelle
CVE-2016-0702 adressiert, die das Umgehen von Sicherheitsvorkehrungen
ermöglicht. Mittels des libopenssl-Sicherheitsupdates für openSUSE 13.1
werden zusätzlich die Schwachstellen CVE-2015-3197, CVE-2016-0797,
CVE-2016-0799 und CVE-2016-0800 behoben, die ebenfalls das Umgehen von
Sicherheitsvorkehrungen sowie das Ausspähen von Informationen und die
Durchführung von Denial-of-Service-Angriffen ermöglichen.
FreeBSD stellt die Versionen 10.3-STABLE, 10.3-RELEASE-p2,
10.2-RELEASE-p16, 10.1-RELEASE-p33, 9.3-STABLE und 9.3-RELEASE-p41 bereit,
in denen die referenzierten Schwachstellen mit Ausnahme der CVE-2016-2108
behoben werden.
Cisco veröffentlicht das referenzierte Security Advisory
cisco-sa-20160504-openssl über welches die Ergebnisse, der derzeit
andauernden Analysen bezüglich der Betroffenheit der Cisco Produkte,
fortlaufend veröffentlicht werden sollen.
Cisco benennt allerdings schon erste verwundbare Produkte u.a. den Cisco
Prime Security Manager und verschiedene Switches und kündigt für einige
Produkte Sicherheitsupdates an.
Version 4 (04.05.2016):
Für SUSE Linux Enterprise Software Development Kit 12, Server 12 und
Desktop 12 stehen Sicherheitsupdates bereit, die die referenzierten
Schwachstellen mit Ausnahme von CVE-2016-2176 beheben.
Version 3 (04.05.2016):
Für LibreSSL stehen Sicherheitsupdates auf die Versionen 2.2.7 und 2.3.4
bereit, die die referenzierten Schwachstellen mit Ausnahme von
CVE-2016-2176 beheben.
Version 2 (04.05.2016):
Debian stellt für die Distribution Debian Jessie (stable)
Sicherheitsupdates bereit und adressiert damit sämtliche Schwachstellen.
Für Fedora 22, 23 und 24 stehen Sicherheitsupdates in Form der Pakete
openssl-1.0.1k-15.fc22, openssl-1.0.2h-1.fc23 im Status ‘testing’ und
openssl-1.0.2h-1.fc24 im Status ‘pending’ bereit, welche die
Schwachstellen CVE-2016-2105, CVE-2016-2106, CVE-2016-2107 und
CVE-2016-2108 adressieren.
Für SUSE Linux Enterprise Server 11 Security steht ein Sicherheitsupdate
bereit; die Schwachstelle CVE-2016-2176 wird nicht adressiert.
F5 Networks informiert mit Security Advisory sol07538415 darüber, dass
derzeit alle Produkte auf ihre Verwundbarkeit hin untersucht werden. Es
stehen noch keine Sicherheitsupdates zur Verfügung.
Version 1 (03.05.2016):
Neues Advisory
Betroffene Software:
LibreSSL < 2.2.7
LibreSSL < 2.3.4
OpenSSL Project OpenSSL <= 1.0.1s
OpenSSL Project OpenSSL <= 1.0.2g
Betroffene Plattformen:
Cisco Adaptive Security Appliance Software
Cisco AnyConnect Secure Mobility Client
Cisco Application and Content Networking System (ACNS) Software
Cisco Application Policy Infrastructure Controller
Cisco ASA Context Aware (CX) Services
Cisco Unity Connection Server
Cisco Enterprise Content Delivery System
Cisco FireSIGHT System Software
Cisco Identity Services Engine
Cisco Jabber
Cisco Jabber Guest 10.0(2)
Cisco Prime Security Manager
Cisco Secure Access Control System (ACS)
Cisco Security Manager
Cisco TelePresence Conductor
Cisco TelePresence Server Software
Cisco Unified Communications Manager
Cisco Unified Communications Manager IM and Presence Service
Cisco Unified Computing System
Cisco Unified Contact Center Express
Cisco Video Distribution Suite for Internet Streaming (VDS-IS/CDS-IS)
Cisco Virtual Wide Area Application Services (vWAAS)
Cisco WebEx Meetings
Cisco WebEx Meetings Server 1.x
Cisco WebEx Meetings Server 2.x
Cisco WebEx Node for MCS
Cisco Wide Area Application Services (WAAS)
F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.2.1
F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4
F5 Networks BIG-IP Protocol Security Module (PSM) 11.2.1
F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.4.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1
SUSE Linux Enterprise Module for Legacy Software 12
SUSE Linux Enterprise Software Development Kit 11 SP4
SUSE Linux Enterprise Software Development Kit 12
SUSE Linux Enterprise Software Development Kit 12 SP1
SUSE Manager Proxy 2.1
SUSE Manager 2.1
SUSE OpenStack Cloud 5
SUSE Studio Onsite 1.3
Cisco ACE30 Application Control Engine Module
Cisco ACE 4710 Application Control Engine Appliances
Cisco Aironet 2700 Access Point
Cisco ASR 5000
Cisco Connected Grid Router
Cisco Content Security Management Appliance
Cisco Email Security Appliance
Cisco Intrusion Prevention System
Cisco MDS 9000
Cisco Network Access Control (NAC) Guest Server
Cisco Nexus 1000V
Cisco Nexus 5000
Cisco Nexus 6000
Cisco Nexus 7000
Cisco Nexus 9000
Cisco TelePresence Integrator C
Cisco TelePresence MX Series
Cisco TelePresence Serial Gateway Series
Cisco Telepresence Server 7010
Cisco Telepresence Server MSE 8710
Cisco Telepresence System EX Series
Cisco TelePresence Video Communication Server
Cisco Web Security Appliance
F5 Networks BIG-IP Systeme
Apple Mac OS X
Canonical Ubuntu Linux 12.04 LTS
Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 15.10
Canonical Ubuntu Linux 16.04 LTS
Cisco IOS
Cisco IOS XE
Cisco IOS XR
Debian Linux 8.4 Jessie
FreeBSD <= 9.3-RELEASE-p40
FreeBSD 9.3-STABLE
FreeBSD <= 10.1-RELEASE-p32
FreeBSD <= 10.2-RELEASE-p15
FreeBSD <= 10.3-RELEASE-p1
FreeBSD 10.3-STABLE
GNU/Linux
IBM AIX 5.3
IBM AIX 6.1
IBM AIX 7.1
IBM AIX 7.2
IBM VIOS 2.2.x
Microsoft Windows
openSUSE 13.1
openSUSE 13.2
openSUSE Leap 42.1
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Server 11 SECURITY
SUSE Linux Enterprise Server 11 SP2 LTSS
SUSE Linux Enterprise Server 11 SP3 LTSS
SUSE Linux Enterprise Server 11 SP4
SUSE Linux Enterprise Server 12
SUSE Linux Enterprise Server 12 SP1
OpenBSD 5.8
OpenBSD 5.9
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux HPC Node 7.2 EUS
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Server 7.2 AUS
Red Hat Enterprise Linux Server 7.2 EUS
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation 7
Red Hat Fedora 22
Red Hat Fedora 23
Red Hat Fedora 24
Extra Packages for Red Hat Enterprise Linux 7
Mehrere Schwachstellen in OpenSSL ermöglichen einem zumeist entfernten,
nicht authentifizierten Angreifer das Umgehen von Sicherheitsmechanismen,
das Ausspähen von Informationen, Denial-of-Service (DoS)-Angriffe oder die
Ausführung beliebigen Programmcodes.
Für OpenSSL werden Sicherheitsupdates in Form der neuen Versionen 1.0.2h und
1.0.1t zur Verfügung gestellt, um diese Schwachstellen zu beheben.
Für OpenBSD 5.8 und 5.9 stehen Sicherheitsupdates in Form von Source Code
Patches für die 'libcrypto'-Bibliothek bereit.
Canonical stellt Sicherheitsupdates für die Distributionen Ubuntu 12.04 LTS,
14.04 LTS, 15.10 und 16.04 LTS bereit, die die Schwachstellen mit Ausnahme
von CVE-2016-2176 beheben. Darüber hinaus werden beginnend mit diesem Update
Diffie-Hellmann-Schlüssel mit weniger als 1024 Bits nicht mehr akzeptiert.
Patch:
OpenBSD Security Advisory OpenBSD 5.8
http://www.openbsd.org/errata58.html
Patch:
OpenBSD Security Advisory OpenBSD 5.9
http://www.openbsd.org/errata59.html
Patch:
OpenSSL Security Advisory [03 May 2016]
https://www.openssl.org/news/secadv/20160503.txt
Patch:
Ubuntu Security Notice USN-2959-1
http://www.ubuntu.com/usn/usn-2959-1/
Patch:
Debian Security Advisory DSA-3566-1
https://www.debian.org/security/2016/dsa-3566
Patch:
Fedora Security Update FEDORA-2016-05c567df1a (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-05c567df1a
Patch:
Fedora Security Update FEDORA-2016-1411324654 (Fedora 24)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-1411324654
Patch:
Fedora Security Update FEDORA-2016-1e39d934ed (Fedora 22)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-1e39d934ed
Patch:
LibreSSL Release Notes
http://www.libressl.org/releases.html
Patch:
SUSE Security Update SUSE-SU-2016:1206-1
https://www.suse.com/support/update/announcement/2016/suse-su-20161206-1.html
Patch:
SUSE Security Update SUSE-SU-2016:1228-1
https://www.suse.com/support/update/announcement/2016/suse-su-20161228-1.html
Patch:
Cisco Security Advisory cisco-sa-20160504-openssl
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160504-openssl
Patch:
FreeBSD Security Advisory FreeBSD-SA-16%3A17.openssl
http://www.freebsd.org/security/advisories/FreeBSD-SA-16%3A17.openssl.asc
Patch:
SUSE Security Update SUSE-SU-2016:1233-1
https://www.suse.com/support/update/announcement/2016/suse-su-20161233-1.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1238-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00014.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1240-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00016.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1241-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00017.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1242-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00018.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1243-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00019.html
Patch:
Red Hat Security Advisory RHSA-2016:0722
http://rhn.redhat.com/errata/RHSA-2016-0722.html
Patch:
SUSE Security Update SUSE-SU-2016:1267-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00029.html
Patch:
Red Hat Security Advisory RHSA-2016:0996
http://rhn.redhat.com/errata/RHSA-2016-0996.html
Patch:
Fedora Security Update FEDORA-2016-c558e58b21 (Fedora 24,
mingw-openssl-1.0.2h)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-c558e58b21
Patch:
Fedora Security Update FEDORA-2016-e1234b65a2 (Fedora 23,
mingw-openssl-1.0.2h)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-e1234b65a2
Patch:
Fedora Security Update FEDORA-EPEL-2016-fb5b01d185 (Fedora EPEL 7,
mingw-openssl-1.0.2h)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-fb5b01d185
Patch:
openSUSE Security Update openSUSE-SU-2016:1273-1
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00030.html
Patch:
SUSE Security Update SUSE-SU-2016:1290-1
https://www.suse.com/support/update/announcement/2016/suse-su-20161290-1.html
Patch:
F5 Networks Security Advisory sol75152412
http://support.f5.com/kb/en-us/solutions/public/k/75/sol75152412.html?ref=rss
Patch:
F5 Networks Security Advisory sol93600123 (CVE-2016-2107)
http://support.f5.com/kb/en-us/solutions/public/k/93/sol93600123.html?ref=rss
Patch:
IBM Security Advisory openssl_advisory20.asc
http://aix.software.ibm.com/aix/efixes/security/openssl_advisory20.asc
CVE-2016-2176: Schwachstelle in OpenSSL ermöglicht Ausspähen von
Informationen
Die Verarbeitung von ASN1-Zeichenketten mit mehr als 1024 Bytes mit der
Funktion ‘X509_NAME_oneline’ auf EBCDIC-Systemen kann zu Lesezugriff auf
Speicher außerhalb des zugewiesenen Speicherbereichs führen. Ein entfernter,
nicht authentifizierter Angreifer kann mit Hilfe speziell präparierter
Anwendungen, die auf die Funktion ‘X509_NAME_oneline’ zurückgreifen, Daten
aus dem Stack in den Puffer einlesen und in der Folge Informationen
ausspähen.
CVE-2016-2109: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Wenn ASN.1-Daten über BIO-Funktionen wie d2i_CMS_bio() gelesen werden,
können kurze, ungültige Kodierungen die Allokation großer Mengen von
Speicher verursachen. Jede Anwendung, die d2i-BIO-Funktionen für das Parsen
von nicht vertrauenswürdigen Eingabedaten verwendet, ist betroffen. Da die
TLS-Bibliothek Funktionen basierend auf Speicher benutzt, sind
TLS-Anwendungen nicht betroffen. Ein lokaler, nicht authentisierter
Angreifer kann einen Denial-of-Service-Angriff durchführen.
CVE-2016-2108: Schwachstelle in OpenSSL ermöglicht Ausführung beliebigen
Programmcodes
In der Funktion ‘i2c_ASN1_INTEGER’ kann es zu einem Pufferunterlauf und in
der Folge zum Schreibzugriff auf Speicher außerhalb des zugewiesenen
Speicherbereichs (Out-of-bounds Write) kommen, wenn in ASN.1-Eingangsdaten
der Wert Null als negative Ganzzahl kodiert ist. Die Funktion
‘d2i_ASN1_TYPE’ im ANS.1-Parser kann große universelle Tags als eine solche
Repräsentation einer Null interpretieren. Diese Tags kommen in den gängigen
ANS.1-Strukturen wie X.509 nicht vor, werden aber als Teil von
ANY-Strukturen akzeptiert. Eine Anwendung, die nicht vertrauenswürdige
ASN.1-Strukturen mit ANY-Feldern zunächst deserialisiert und später
serialisiert, kann den Out-of-bounds-Schreibvorgang auslösen. Ein
entfernter, nicht authentifizierter Angreifer kann mit Hilfe speziell
präparierter Eingangsdaten beliebigen Programmcode auf Systemen ausführen,
die ‘d2i_ASN1_TYPE’ zur Verarbeitung von ASN.1-Daten verwenden.
CVE-2016-2107: Schwachstelle in OpenSSL ermöglicht Umgehen von
Sicherheitsvorkehrungen
In OpenSSL existiert eine Schwachstelle, die durch den Fix zur Verhinderung
von “Lucky 13” Padding-Angriffen eingeführt wurde (CVE-2013-0169). Dabei
wurde die Padding Prüfung neu implementiert, so dass diese in konstanter
Zeit durchgeführt wird, um sicherzustellen, dass immer dieselben Bytes
gelesen und entweder gegen den MAC oder die Padding Bytes verglichen werden.
Dabei wird allerdings nicht länger geprüft, ob genügend Daten vorhanden
sind, um sowohl den MAC als auch Padding Bytes vorliegen zu haben. Ein
Man-in-the-Middle (MitM) kann diese Schwachstelle für einen ‘Padding
Oracle’-Angriff ausnutzen, um den Netzwerkverkehr zu entschlüsseln, wenn die
Verbindung AES-CBC-Chiffren verwendet und der Server den Befehlssatz AES
unterstützt. Ein entfernter, nicht authentisierter Angreifer kann
Sicherheitsvorkehrungen umgehen und in der Folge Informationen ausspähen
CVE-2016-2106: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
In OpenSSL existiert eine Schwachstelle in der Funktion EVP_EncodeUpdate().
Durch sehr große Mengen von Eingabedaten nach einem vorhergehenden Aufruf
von EVP_EncryptUpdate() mit einem Teilblock kann es zu einem Überlauf bei
der Längenprüfung und dadurch zu einer Heap-Speicherkorruption kommen.
Innerhalb von OpenSSL wird diese Funktion durch Funktionen verwendet, in
denen kein Überlauf möglich ist. Für Benutzeranwendungen, welche diese APIs
direkt mit einer großen Menge nicht vertrauenswürdiger Daten aufrufen, ist
OpenSSL dagegen verwundbar. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen oder möglicherweise beliebigen Programmcode auszuführen.
CVE-2016-2105: Schwachstelle in OpenSSL ermöglicht
Denial-of-Service-Angriffe
In OpenSSL existiert eine Schwachstelle in der Funktion ‘EVP_EncodeUpdate’,
die für das Base64-Encoding von Binärdaten verwendet wird. Durch sehr große
Mengen von Eingabedaten kann es zu einem Überlauf bei der Längenprüfung und
dadurch zu einer Heap-Speicherkorruption kommen. Innerhalb von OpenSSL wird
diese Funktion primär durch die Familie der ‘PEM_write_bio*’-Funktionen
verwendet, die hauptsächlich in Kommandozeilenanwendungen zur Anwendung
kommt. In diesen Fällen sollten die vorhandenen Längenprüfungen für die
Aufrufe den Überlauf verhindern. Für Benutzeranwendungen, welche diese APIs
direkt mit einer großen Menge nicht vertrauenswürdiger Daten aufrufen, ist
OpenSSL dagegen verwundbar. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen oder möglicherweise beliebigen Programmcode auszuführen.
Oracle nennt diese Schwachstelle in Zusammenhang mit einem eigenen Produkt,
der Oracle MySQL Komponente ‘MySQL Server’, und gibt an, dass bei diesem
eine hohe Verwundbarkeit gegenüber Denial-of-Service (DoS)-Angriffe besteht.
Das von Oracle zur Verfügung gestellte Sicherheitsupdate für diese
Schwachstelle schließt gleichzeitig die Schwachstelle CVE-2016-2106.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0702/
OpenBSD Security Advisory OpenBSD 5.8:
http://www.openbsd.org/errata58.html
OpenBSD Security Advisory OpenBSD 5.9:
http://www.openbsd.org/errata59.html
Schwachstelle CVE-2016-2109 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2109
OpenSSL Security Advisory [03 May 2016]:
https://www.openssl.org/news/secadv/20160503.txt
Ubuntu Security Notice USN-2959-1:
http://www.ubuntu.com/usn/usn-2959-1/
Schwachstelle CVE-2016-2105 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2105
Schwachstelle CVE-2016-2106 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2106
Schwachstelle CVE-2016-2107 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2107
Schwachstelle CVE-2016-2108 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2108
Schwachstelle CVE-2016-2176 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2176
Debian Security Advisory DSA-3566-1:
https://www.debian.org/security/2016/dsa-3566
Fedora Security Update FEDORA-2016-05c567df1a (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-05c567df1a
Fedora Security Update FEDORA-2016-1411324654 (Fedora 24):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-1411324654
Fedora Security Update FEDORA-2016-1e39d934ed (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-1e39d934ed
LibreSSL Release Notes:
http://www.libressl.org/releases.html
SUSE Security Update SUSE-SU-2016:1206-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20161206-1.html
SUSE Security Update SUSE-SU-2016:1228-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20161228-1.html
F5 Networks Security Advisory sol07538415:
http://support.f5.com/kb/en-us/solutions/public/k/07/sol07538415.html?ref=rss
Cisco Security Advisory cisco-sa-20160504-openssl:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160504-openssl
FreeBSD Security Advisory FreeBSD-SA-16%3A17.openssl:
http://www.freebsd.org/security/advisories/FreeBSD-SA-16%3A17.openssl.asc
SUSE Security Update SUSE-SU-2016:1233-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20161233-1.html
openSUSE Security Update openSUSE-SU-2016:1238-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00014.html
openSUSE Security Update openSUSE-SU-2016:1240-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00016.html
openSUSE Security Update openSUSE-SU-2016:1241-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00017.html
openSUSE Security Update openSUSE-SU-2016:1242-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00018.html
openSUSE Security Update openSUSE-SU-2016:1243-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00019.html
Red Hat Security Advisory RHSA-2016:0722:
http://rhn.redhat.com/errata/RHSA-2016-0722.html
SUSE Security Update SUSE-SU-2016:1267-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00029.html
F5 Networks Security Advisory sol23230229:
http://support.f5.com/kb/en-us/solutions/public/k/23/sol23230229.html?ref=rss
F5 Networks Security Advisory sol47145213:
http://support.f5.com/kb/en-us/solutions/public/k/47/sol47145213.html?ref=rss
F5 Networks Security Advisory sol93600123:
http://support.f5.com/kb/en-us/solutions/public/k/93/sol93600123.html?ref=rss
Red Hat Security Advisory RHSA-2016:0996:
http://rhn.redhat.com/errata/RHSA-2016-0996.html
Fedora Security Update FEDORA-2016-c558e58b21 (Fedora 24,
mingw-openssl-1.0.2h):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-c558e58b21
Fedora Security Update FEDORA-2016-e1234b65a2 (Fedora 23,
mingw-openssl-1.0.2h):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-e1234b65a2
Fedora Security Update FEDORA-EPEL-2016-fb5b01d185 (Fedora EPEL 7,
mingw-openssl-1.0.2h):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-fb5b01d185
openSUSE Security Update openSUSE-SU-2016:1273-1:
https://lists.opensuse.org/opensuse-security-announce/2016-05/msg00030.html
SUSE Security Update SUSE-SU-2016:1290-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20161290-1.html
F5 Networks Security Advisory sol36488941 (CVE-2016-2106):
http://support.f5.com/kb/en-us/solutions/public/k/36/sol36488941.html?ref=rss
F5 Networks Security Advisory sol51920288 (CVE-2016-2105):
http://support.f5.com/kb/en-us/solutions/public/k/51/sol51920288.html?ref=rss
F5 Networks Security Advisory sol75152412 (CVE-2016-2108):
http://support.f5.com/kb/en-us/solutions/public/k/75/sol75152412.html?ref=rss
F5 Networks Security Advisory sol75152412:
http://support.f5.com/kb/en-us/solutions/public/k/75/sol75152412.html?ref=rss
F5 Networks Security Advisory sol93600123 (CVE-2016-2107):
http://support.f5.com/kb/en-us/solutions/public/k/93/sol93600123.html?ref=rss
IBM Security Advisory openssl_advisory20.asc:
http://aix.software.ibm.com/aix/efixes/security/openssl_advisory20.asc
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
