Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
SUSE Linux Enterprise Software Development Kit 12 SP1
OpenSSL Project OpenSSL
Betroffene Plattformen:
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Server 12 SP1
Mehrere Schwachstellen in OpenSSL ermöglichen einem entfernten, nicht
authentifizierten Angreifer die Ausführung beliebigen Programmcodes, das
Ausspähen von Informationen und verschiedene Denial-of-Service
(DoS)-Angriffe.
Für SUSE Linux Enterprise Desktop und Server 12 SP1 sowie für das SUSE Linux
Enterprise Software Development Kit 12 SP1 stehen Sicherheitsupdates zur
Behebung der Schwachstellen bereit. Der Commit zur Behebung der
Schwachstelle CVE-2016-2108 fehlte bei bisherigen Sicherheitsupdates für die
genannten Produkte.
Patch:
SUSE Security Update SUSE-SU-2017:0461-1
http://lists.suse.com/pipermail/sle-security-updates/2017-February/002642.html
CVE-2017-3731: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Wenn ein Server oder Client, welcher SSL/TLS unterstützt, auf einem 32-Bit
Host läuft und spezifische Chiffren verwendet werden, kann ein
abgeschnittenes Paket dazu führen, dass dieser Server oder Client außerhalb
von Speichergrenzen liest (Out-of-bounds Read), wodurch es normalerweise zu
einem Absturz kommt. Für OpenSSL 1.1.0 bevor 1.1.0d kann dieses durch
Verwendung von ‘CHACHA20/POLY1305’ ausgelöst werden, für Openssl 1.0.2 bevor
1.0.2k durch ‘RC4-MD5’, falls dessen Verwendung nicht deaktiviert wurde. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.
CVE-2016-7056: Schwachstelle in OpenSSL und Derivaten ermöglicht Ausspähen
von Informationen
Die Funktion ‘ecdsa_sign_setup’ in ‘crypto/ecdsa/ecs_ossl.c’ in OpenSSL
stellt nicht sicher, dass zeitlich konstante Operationen in der
ECDSA-Implementierung benutzt werden. Dadurch werden Cache-basierte
Seitenkanalangriffe möglich, um private Elliptic Curve Digital Signature
Algorithm-Schlüssel (ECDSA-Schlüssel) auszuspähen. Betroffen sind auch
Derivate von OpenSSL wie z.B. LibreSSL und BoringSSL. Diese Schwachstelle
ist verwandt mit der Schwachstelle CVE-2016-2178. Ein lokaler, nicht
authentisierter Angreifer kann eine Schwachstelle in OpenSSL und Derivaten
davon mit Hilfe einer Seitenkanalattacke ausnutzen, um Schlüsselmaterial
auszuspähen.
CVE-2016-8610: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Durch die fehlerhafte Behandlung von Warnpaketen in OpenSSL kann es zur
exzessiven Verwendung von CPU-Ressourcen kommen. Diese Schwachstelle ist
unter dem Namen ‘SSL-Death-Alert’ bekannt. Ein entfernter, nicht
authentifizierter Angreifer kann durch wiederholtes Versenden speziell
präparierter ‘SSL3_AL_WARNING’-Pakete während des Handshakes den
OpenSSL-Server in eine Schleife zwingen und dadurch einen Denial-of-Service
(DoS)-Zustand auslösen.
CVE-2016-2108: Schwachstelle in OpenSSL ermöglicht Ausführung beliebigen
Programmcodes
In der Funktion ‘i2c_ASN1_INTEGER’ kann es zu einem Pufferunterlauf und in
der Folge zum Schreibzugriff auf Speicher außerhalb des zugewiesenen
Speicherbereichs (Out-of-bounds Write) kommen, wenn in ASN.1-Eingangsdaten
der Wert Null als negative Ganzzahl kodiert ist. Die Funktion
‘d2i_ASN1_TYPE’ im ANS.1-Parser kann große universelle Tags als eine solche
Repräsentation einer Null interpretieren. Diese Tags kommen in den gängigen
ANS.1-Strukturen wie X.509 nicht vor, werden aber als Teil von
ANY-Strukturen akzeptiert. Eine Anwendung, die nicht vertrauenswürdige
ASN.1-Strukturen mit ANY-Feldern zunächst deserialisiert und später
serialisiert, kann den Out-of-bounds-Schreibvorgang auslösen. Ein
entfernter, nicht authentifizierter Angreifer kann mit Hilfe speziell
präparierter Eingangsdaten beliebigen Programmcode auf Systemen ausführen,
die ‘d2i_ASN1_TYPE’ zur Verarbeitung von ASN.1-Daten verwenden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0272/
Schwachstelle CVE-2016-2108 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2108
Schwachstelle CVE-2016-8610 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8610
Schwachstelle CVE-2016-7056 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7056
Schwachstelle CVE-2017-3731 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3731
SUSE Security Update SUSE-SU-2017:0461-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-February/002642.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
