Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
GNU GnuTLS
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 LTS
Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 16.04 LTS
Canonical Ubuntu Linux 16.10
Mehrere Schwachstellen in GnuTLS ermöglichen einem entfernten, nicht
authentifizierten Angreifer die Durchführung verschiedener
Denial-of-Service-Angriffe und möglicherweise weitere Angriffe aufgrund der
erneuten Freigabe bereits freigegebener Speicherbereiche. Die Schwachstellen
CVE-2017-5335, CVE-2017-5336 und CVE-2017-5337 betreffen die Verarbeitung
von OpenPGP-Zertifikaten, deren Verwendung nicht mehr empfohlen wird. Eine
weitere Schwachstelle in GnuTLS ermöglicht einem entfernten, nicht
authentisierten Angreifer ungültige Zertifikate als gültig ausweisen und
dadurch Sicherheitsvorkehrungen zu umgehen.
Canonical stellt für die Distributionen Ubuntu 16.10 und Ubuntu 16.04 LTS
aktualisierte ‘gnutls30’-Pakete sowie für Ubuntu 14.04 LTS und Ubuntu 12.04
LTS aktualisierte ‘gnutls26’-Pakete als Sicherheitsupdates bereit. Die
Schwachstellen CVE-2016-8610 und CVE-2017-5334 betreffen ausschließlich
Ubuntu 16.04 LTS und Ubuntu 16.10.
Patch:
Ubuntu Security Notice USN-3183-1
http://www.ubuntu.com/usn/usn-3183-1/
CVE-2017-5337: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
Bestimmte Prüfungen bei der Verarbeitung von Datenströmen in
‘lib/opencdk/read-packet.c’ sind nicht genau genug, wodurch es zu
Lesezugriffen auf nicht initialisierte Speicherbereiche kommen kann (Heap
Read Overflow). Ein entfernter, nicht authentifizierter Angreifer kann
dadurch einen Denial-of-Service-Angriff durchführen.
CVE-2017-5336: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
In ‘lib/opencdk/pubkey.c’ kann es zu einem Überlauf auf dem Stack kommen.
Ein entfernter, nicht authentifizierter Angreifer kann dadurch einen
Denial-of-Service-Angriff durchführen.
CVE-2017-5335: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
In ‘lib/opencdk/read-packet.c’ kann es bei der Verarbeitung von Datenströmen
zu einem Out-of-Memory-Fehler kommen, da eine Fehlerprüfung nicht
implementiert ist. Ein entfernter, nicht authentifizierter Angreifer kann
dadurch einen Denial-of-Service-Angriff durchführen.
CVE-2017-5334: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
Falls X.509-Zertifikate mit ‘Proxy Certificate Information’-Erweiterung
(ProxyCertInfo Extension) in GnuTLS verarbeitet werden, kann es zur
versuchten Freigabe bereits freigegebener Speicherbereiche kommen, wenn ein
an den Benutzer zurückgegebener Wert freigegeben wird. Der Fehler liegt
dabei in der Funktion ‘gnutls_x509_ext_import_proxy’ und tritt auf, wenn die
Sprache, in der die zugehörige Richtlinie verfasst ist, gesetzt ist
(ProxyPolicy :: policyLanguage), die Richtlinie selbst (ProxyPolicy ::
policy) aber nicht. Weitere Informationen zur ‘ProxyCertInfo Extension’
finden sich in ‘RFC 3820: Internet X.509 Public Key Infrastructure (PKI)
Proxy Certificate Profile’. Ein entfernter, nicht authentifizierter
Angreifer kann mit Hilfe eines speziell präparierten X.509-Zertifikats einen
Denial-of-Service-Angriff und möglicherweise weitere Angriffe durchführen.
CVE-2016-8610: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Durch die fehlerhafte Behandlung von Warnpaketen in OpenSSL kann es zur
exzessiven Verwendung von CPU-Ressourcen kommen. Ein entfernter, nicht
authentifizierter Angreifer kann durch wiederholtes Versenden speziell
präparierter ‘SSL3_AL_WARNING’-Pakete während des Handshakes den
OpenSSL-Server in eine Schleife zwingen und dadurch einen Denial-of-Service
(DoS)-Zustand auslösen.
CVE-2016-7444: Schwachstelle in GnuTLS ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine nicht näher spezifizierte Schwachstelle in GnuTLS 3.3.24,
3.4.14 und 3.5.3 sowie früheren Versionen, wenn das Online Certificate
Status Protocol (OCSP) verwendet wird, wodurch Zertifikate unter bestimmten
Umständen fälschlicherweise als gültig ausgewiesen werden können
(GNUTLS-SA-2016-3).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0196/
Schwachstelle CVE-2016-7444 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7444
Schwachstelle CVE-2016-8610 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8610
Schwachstelle CVE-2017-5334 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5334
Schwachstelle CVE-2017-5335 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5335
Schwachstelle CVE-2017-5336 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5336
Schwachstelle CVE-2017-5337 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5337
Ubuntu Security Notice USN-3183-1:
http://www.ubuntu.com/usn/usn-3183-1/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
