Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

irssi-otr < 1.0.2 Betroffene Plattformen: openSUSE Leap 42.2 Ein entfernter, nicht authentifizierter Angreifer kann eine Schwachstelle in irssi-otr ausnutzen, um Informationen auszuspähen. Für openSUSE Leap 42.2 steht ein Sicherheitsupdate für 'irc-otr' auf Version 1.0.2 bereit, das diese Schwachstelle behebt. Patch: SUSE Security Update openSUSE-SU-2016:3285-1 https://lists.opensuse.org/opensuse-updates/2016-12/msg00157.html

IRSSI-OTR-1-0-2-A: Schwachstelle in irssi-otr ermöglicht Ausspähen von
Informationen

Bei Initialisierung einer OTR-Sitzung durch die Nachricht ‘?OTR?’ wird nur
die erste Zeile als PRIVMSG übermittelt. Jede weitere Zeile wird als
Rohbefehl an den IRC-Server geschickt.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-2148/

SUSE Security Update openSUSE-SU-2016:3285-1:
https://lists.opensuse.org/opensuse-updates/2016-12/msg00157.html

SUSE Bug #1016942:
https://bugzilla.suse.com/show_bug.cgi?id=1016942

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.