Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (13.02.2017):
Für openSUSE Leap 42.2 steht ebenfalls ein Sicherheitsupdate bereit, in
dem die Schwachstellen CVE-2016-4658 und CVE-2016-9597 sowie eine
NULL-Zeiger Dereferenzierung behoben werden und für die Schwachstelle
CVE-2016-9318 bewusst keine Fehlerbehebung durchgeführt wird.
Version 1 (06.02.2017):
Neues Advisory
Betroffene Software:
LibXML2
Betroffene Plattformen:
SUSE Linux Enterprise Software Development Kit 12 SP2
openSUSE Leap 42.2
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
Zwei Schwachstellen ermöglichen einem entfernten, nicht authentisierten
Angreifer mit Hilfe speziell präparierter XML-Dokumente einen
Denial-of-Service (DoS)-Angriff durchzuführen. Über die Schwachstelle
CVE-2016-4658 ist eigentlich auch das Ausführen beliebigen Programmcodes
möglich, von SUSE wird als Auswirkung aber nur ein Absturz der Anwendung
(Denial-of-Service) angegeben.
Für die SUSE Linux Enterprise Produkte Software Development Kit, Desktop,
Server und Server for Raspberry Pi in Version 12 SP2 stehen
Backport-Sicherheitsupdates zur Verfügung, durch welche die Schwachstellen
CVE-2016-4658 und CVE-2016-9597 sowie eine NULL- Zeiger-Dereferenzierung in
‘in xpointer.c’ im Wiederherstellungsmodus behoben werden.
Die Schwachstelle CVE-2016-9318, die ein entfernter, nicht authentisierter
Angreifer für das Ausführen beliebigen Programmcodes ausnutzen kann, wird in
dem Hersteller-Advisory ebenfalls referenziert. Für diese Schwachstelle
liefert der Hersteller jedoch keine Fehlerbereinigung aus, weil dadurch
bestehende Setups funktionsunfähig werden können. Anwender werden
stattdessen aufgefordert, geeignete Maßnahmen zu ergreifen, wenn nicht
vertrauenswürdige XML-Dateien geparst werden, und das neue Flag ‘-noxxe’
wenn möglich zu verwenden.
Patch:
SUSE Security Update SUSE-SU-2017:0380-1
http://lists.suse.com/pipermail/sle-security-updates/2017-February/002619.html
Patch:
openSUSE Security Update openSUSE-SU-2017:0446-1
http://lists.opensuse.org/opensuse-updates/2017-02/msg00055.html
CVE-2016-9597: Schwachstelle in libxml ermöglicht Denial-of-Service-Angriff
In libxml2 existiert eine Schwachstelle bei der Verarbeitung ungültiger
XML-Dateien, durch die es zu einem Speicherüberlauf auf dem Stack kommen
kann (Stack Overflow). Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen.
CVE-2016-9318: Schwachstelle in libxml2 ermöglicht Ausführen beliebigen
Programmcodes
libxml2 bis einschließlich Version 2.9.4, wie verwendet in XMLSec bis
einschließlich 1.2.23 und anderen Produkten, bietet kein Flag, welches
kennzeichnen würde, dass das aktuelle Dokument durch andere Dateien nur
gelesen, aber nicht geöffnet werden darf, wodurch Angreifer leichter XML
External Entity (XXE)-Angriffe mit Hilfe eines präparierten Dokumentes
durchführen können. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle ausnutzen, um einen XML External Entity (XXE)-Angriff
durchzuführen und dadurch möglicherweise beliebigen Programmcode zur
Ausführung bringen.
CVE-2016-4658: Schwachstelle in libxml ermöglicht Ausführung beliebigen
Programmcodes
Zur Vermeidung des Zugriffs auf bereits freigegebene Speicherbereiche
(Use-after-free) müssen Namensraumknoten (Namespace Nodes) kopiert werden.
Innerhalb von ‘XPointer Ranges’ in XML-Dokumenten haben diese aber nicht
notwendigerweise eine physikalische Entsprechung. Ein entfernter, nicht
authentisierter Angreifer kann mit Hilfe eines speziell präparierten
XML-Dokuments auf bereits freigegebene Speicherbereiche zugreifen und einen
Denial-of-Service (DoS)-Angriff durchführen oder beliebigen Programmcode zur
Ausführung bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0209/
Schwachstelle CVE-2016-4658 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4658
Schwachstelle CVE-2016-9318 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9318
Schwachstelle CVE-2016-9597 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9597
SUSE Security Update SUSE-SU-2017:0380-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-February/002619.html
openSUSE Security Update openSUSE-SU-2017:0446-1:
http://lists.opensuse.org/opensuse-updates/2017-02/msg00055.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
