Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (25.07.2016):
Für die Distributionen Debian Jessie (‘stable’) und Stretch (‘testing’)
stehen Sicherheitsupdates zur Verfügung. Die Schwachstelle CVE-2016-3947
wird nicht referenziert.
Version 2 (10.06.2016):
Für die Distributionen Ubuntu 16.04 LTS, Ubuntu 15.10, Ubuntu 14.04 LTS
und Ubuntu 12.04 LTS werden Sicherheitsupdates für Squid bereitgestellt.
Mit diesen Sicherheitsupdates wird zusätzlich die
Denial-of-Service-Schwachstelle CVE-2016-3947 adressiert.
Version 1 (31.05.2016):
Neues Advisory
Betroffene Software:
Squid
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 LTS
Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 15.10
Canonical Ubuntu Linux 16.04 LTS
Debian Linux 8.5 Jessie
Debian Linux 9.0 Stretch
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Server 7.2 AUS
Red Hat Enterprise Linux Server 7.2 EUS
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation 7
Mehrere Schwachstellen in Squid ermöglichen einem entfernten, nicht
authentifizierten Angreifer die Durchführung von Denial-of-Service
(DoS)-Angriffen, das Ausspähen von Informationen und das Ausführen
beliebigen Programmcodes. Für einige dieser Angriffe ist es erforderlich,
dass Squid in der Funktion als Reverse Proxy die Edge Side Includes (ESI)
unterstützt und der Angreifer die ESI-Komponenten unter seiner Kontrolle
hat. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann
weitere Schwachstellen ausnutzen, um Sicherheitsmechanismen zu umgehen.
Für die Red Hat Enterprise Linux 6 Produkte Server und Workstation stehen
Sicherheitsupdates für Squid 3.4 in Form aktualisierter squid34-Pakete
bereit. Ebenfalls für die beiden Produkte verfügbar sind aktualisierte
squid-Pakete. Für diese Sicherheitsupdates werden die Schwachstellen
CVE-2016-4553 und CVE-2016-4555 nicht referenziert. Auch für die Red Hat
Enterprise Linux 7 Produkte Server, hier auch die Versionen Server AUS 7.2
und Server EUS 7.2, sowie Workstation stehen Sicherheitsupdates für Squid
zur Behebung aller genannten Schwachstellen zur Verfügung.
Patch:
Red Hat Security Advisory RHSA-2016:1138
http://rhn.redhat.com/errata/RHSA-2016-1138.html
Patch:
Red Hat Security Advisory RHSA-2016:1139
http://rhn.redhat.com/errata/RHSA-2016-1139.html
Patch:
Red Hat Security Advisory RHSA-2016:1140
http://rhn.redhat.com/errata/RHSA-2016-1140.html
Patch:
Ubuntu Security Notice USN-2995-1
http://www.ubuntu.com/usn/usn-2995-1/
Patch:
Debian Security Advisory DSA-3625-1
https://www.debian.org/security/2016/dsa-3625
CVE-2016-4556: Schwachstelle in Squid ermöglicht Denial-of-Service-Angriff
Es existiert eine Schwachstelle in Squid, die durch einen Fehler beim Umgang
mit Zeigern in ESI-Inhalten hervorgerufen wird. Dabei wird versucht, einen
Zeiger freizugeben, der zuvor nicht reserviert wurde (double-free). Dies
ermöglicht einem entfernten, nicht authentifizierten Angreifer mit einem
präparierten Server Squid durch die Verarbeitung von ESI-Antworten in einen
Denial-of-Service-Zustand zu versetzen.
CVE-2016-4555: Schwachstelle in Squid ermöglicht Denial-of-Service-Angriff
Es existiert eine Schwachstelle in Squid, die durch einen Fehler beim Zählen
von Referenzen für ESI-Inhalte hervorgerufen wird. Dies ermöglicht einem
entfernten, nicht authentifizierten Angreifer mit einem präparierten Server
Squid durch die Verarbeitung von ESI-Antworten in einen
Denial-of-Service-Zustand zu versetzen.
CVE-2016-4554: Schwachstelle in Squid ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine Schwachstelle in Squid, die aufgrund der falschen
Überprüfung von Eingaben hervorgerufen wird. Dies ermöglicht es einem
Client, ‘Host”-Kopfzeilenwerte am Same-Origin-Schutz vorbei zu schmuggeln
und Squid als Reverse-Proxy für die Kommunikation mit einem falschen
Origin-Server zu missbrauchen. Darüber hinaus ist es möglich, Caches von
Browsern oder weiteren Proxies zu vergiften. Ein nicht authentifizierter
Angreifer im benachbarten Netzwerk kann Sicherheitsvorkehrungen umgehen.
CVE-2016-4553: Schwachstelle in Squid ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine Schwachstelle in Squid aufgrund der mangelhaften
Überprüfung von Daten abgefangener HTTP-Request Nachrichten. Dies ermöglicht
es Clients die Sicherheitsvorkehrungen in Squid zum Schutz vor der
Schwachstelle CVE-2009-0801 zu umgehen und den Cache mit Inhalten beliebiger
Quellen zu vergiften. Ein nicht authentifizierter Angreifer im benachbarten
Netzwerk kann Sicherheitsvorkehrungen umgehen.
CVE-2016-4054: Schwachstelle in Squid ermöglicht Ausführung beliebigen
Programmcodes
Eine nicht näher beschriebene Schwachstelle in Squid führt zu einem
Speicherüberlauf, der von einem entfernten, nicht authentifizierten
Angreifer ausgenutzt werden kann, um beliebigen Programmcode zur Ausführung
zu bringen. Voraussetzung ist, dass Squid in der Funktion als Reverse Proxy
die Edge Side Includes (ESI) unterstützt und der Angreifer die
ESI-Komponenten unter seiner Kontrolle hat.
CVE-2016-4053: Schwachstelle in Squid ermöglicht Ausspähen von Informationen
Eine Schwachstelle in Squid führt aufgrund von Compiler-Optimierungen durch
die falsche Anwendung von Abbruchbedingungen (Assertions) zur Offenlegung
von Stack-Bereichen. Ein entfernter, nicht authentifizierter Angreifer kann
die Schwachstelle ausnutzen, um Informationen auszuspähen. Voraussetzung
ist, dass Squid in der Funktion als Reverse Proxy die Edge Side Includes
(ESI) unterstützt und der Angreifer die ESI-Komponenten unter seiner
Kontrolle hat.
CVE-2016-4052: Schwachstellen in Squid ermöglichen Ausführung beliebigen
Programmcodes
Mehrere nicht näher beschriebene Schwachstellen in Squid führen zu
Stack-Speicherüberläufen aufgrund inkorrekter Berechnung von
Speichergrenzen, die von einem entfernten, nicht authentifizierten Angreifer
ausgenutzt werden können, um beliebigen Programmcode zur Ausführung zu
bringen oder einen Denial-of-Service-Zustand herbeizuführen. Voraussetzung
ist, dass Squid in der Funktion als Reverse Proxy die Edge Side Includes
(ESI) unterstützt und der Angreifer die ESI-Komponenten unter seiner
Kontrolle hat.
CVE-2016-4051: Schwachstelle in Squid ermöglicht Ausführung beliebigen
Programmcodes
Eine nicht näher beschriebene Schwachstelle in Squid führt zu einem
Speicherüberlauf in ‘cachemgr.cgi’, die von einem entfernten, nicht
authentifizierten Angreifer ausgenutzt werden kann, um beliebigen
Programmcode zur Ausführung zu bringen oder einen Denial-of-Service-Zustand
herbeizuführen.
CVE-2016-3947: Schwachstelle in Squid ermöglicht Denial-of-Service-Angriff
Bei der Verarbeitung von ICMPv6-Paketen durch den Squid Pinger kann es zu
einem Pufferüberlauf und in der Folge zu einem Denial-of-Service-Zustand des
Pingers kommen. Dadurch werden Routing-Entscheidungen von Squid beeinflusst,
was in manchen Konfigurationen zum Ausfall des Services oder zu
Transkationsfehlern führen kann. Auf Systemen, in denen kein Schutz vor
Pufferüberläufen implementiert ist, führt diese Schwachstelle zur
Veröffentlichung beliebiger Datenmengen des Heap-Speichers in den
Log-Dateien von Squid durch den Pinger, der als Prozess mit Root-Rechten
läuft. Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe
speziell präparierter ICMPv6-Anfragen abhängig von der Konfiguration des
betroffenen Systems entweder einen Denial-of-Service-Angriff ausführen oder
Informationen aus dem Heap-Speicher in Log-Dateien schreiben.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0866/
Schwachstelle CVE-2016-3947 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3947
Schwachstelle CVE-2016-4051 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4051
Schwachstelle CVE-2016-4052 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4052
Schwachstelle CVE-2016-4053 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4053
Schwachstelle CVE-2016-4054 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4054
Schwachstelle CVE-2016-4553 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4553
Schwachstelle CVE-2016-4554 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4554
Schwachstelle CVE-2016-4555 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4555
Schwachstelle CVE-2016-4556 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4556
Red Hat Security Advisory RHSA-2016:1138:
http://rhn.redhat.com/errata/RHSA-2016-1138.html
Red Hat Security Advisory RHSA-2016:1139:
http://rhn.redhat.com/errata/RHSA-2016-1139.html
Red Hat Security Advisory RHSA-2016:1140:
http://rhn.redhat.com/errata/RHSA-2016-1140.html
Ubuntu Security Notice USN-2995-1:
http://www.ubuntu.com/usn/usn-2995-1/
Debian Security Advisory DSA-3625-1:
https://www.debian.org/security/2016/dsa-3625
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
