Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

libcurl >= 7.11.1
libcurl <= 7.50.2 Betroffene Plattformen: Red Hat Fedora 23 Red Hat Fedora 24 Red Hat Fedora 25 Ein entfernter, nicht authentifizierter Angreifer kann einen Denial-of-Service (DoS)-Angriff durchführen, indem er einen der Werte '2^32-1', 'UINT_MAX' oder '-1' als Eingangsparameter für die Länge der Eingangsdaten in verschiedenen Funktionen von libcurl verwendet. Der Hersteller haxx stellt die Version 7.50.3 für cURL und libcurl zur Behebung der Schwachstelle bereit und weist darauf hin, dass libcurl in verschiedenen Anwendungen verwendet wird, die nicht auf die Verknüpfung mit libcurl hinweisen. Das Kommandozeilenwerkzeug cURL selbst ist von der Schwachstelle nicht betroffen. Für Fedora 25 steht ein Sicherheitsupdate für curl auf Version 7.50.3 im Status 'testing' bereit. Für Fedora 23 und 24 stehen Backport-Sicherheitsupdates im Status 'testing' bereit, um die Schwachstelle zu beheben. Patch: Fedora Security Update FEDORA-2016-08533fc59c (Fedora 25, curl-7.50.3-1) https://bodhi.fedoraproject.org/updates/FEDORA-2016-08533fc59c

Patch:

Fedora Security Update FEDORA-2016-7a2ed52d41 (Fedora 24, curl-7.47.1-8)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-7a2ed52d41

Patch:

Fedora Security Update FEDORA-2016-80f4f71eff (Fedora 23, curl-7.43.0-10)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-80f4f71eff

Patch:

Project cURL Security Advisory, September 14, 2016

https://curl.haxx.se/docs/adv_20160914.html

CVE-2016-7167: Schwachstelle in libcurl ermöglicht Denial-of-Service-Angriff

Die Funktionen ‘curl_escape’, ‘curl_easy_escape’, ‘curl_unescape’ und
‘curl_easy_unescape’ in libcurl sorgen dafür, dass die
Prozentzeichennotation in als Eingangsparameter zur Verfügung gestellten
URLs maskiert beziehungsweise demaskiert (escaped, unescaped) wird. Als
zusätzlicher Eingangsparameter wird die Länge der URL als
vorzeichenbehafteter Ganzzahlwert akzeptiert. Dieser Wert wird nicht
ausreichend geprüft und führt zur Allozierung von null Bytes im
Heap-Speicher, wenn die Werte ‘2^32-1’, ‘UINT_MAX’ oder ‘-1’ verwendet
werden. cURL versucht anschließend in diese null Bytes Speicher vier
Gigabyte an Daten zu schreiben, wodurch es zu einem Denial-of-Service
(DoS)-Zustand kommt.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1500/

Fedora Security Update FEDORA-2016-08533fc59c (Fedora 25, curl-7.50.3-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-08533fc59c

Fedora Security Update FEDORA-2016-7a2ed52d41 (Fedora 24, curl-7.47.1-8):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-7a2ed52d41

Fedora Security Update FEDORA-2016-80f4f71eff (Fedora 23, curl-7.43.0-10):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-80f4f71eff

Project cURL Security Advisory, September 14, 2016:
https://curl.haxx.se/docs/adv_20160914.html

Schwachstelle CVE-2016-7167 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7167

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.