Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Sophos UTM Software < 9.500 Betroffene Plattformen: Sophos UTM Ein entfernter, nicht authentisierter Angreifer kann mehrere Schwachstellen in BIND und dem Linux-Kernel ausnutzen, um sensitive Informationen aus dem Prozessspeicher auszuspähen und verschiedene Denial-of-Service (DoS)-Angriffe gegen betroffene Systeme durchzuführen. Sophos veröffentlicht die Sophos UTM Software in Version 9.500 zur Behebung der Schwachstellen und weiterer Probleme in vorigen Releases. Unter anderem wird der Scan zur Erkennung von CVE-2016-2183 (SWEET32) adressiert, der nach dem Update auf Version 9.408 der Software immer noch nicht funktionierte. Diese Updates können aktuell über den FTP-Server von Sophos heruntergeladen werden. Im nächsten Schritt werden die Updates über die Up2Date-Server zugänglich gemacht. Patch: Sophos UTM Blog: Sophos UTM Up2Date 9.500 Released https://community.sophos.com/products/unified-threat-management/b/utm-blog/posts/utm-up2date-9-500-released

CVE-2017-5970: Schwachstelle in Linux-Kernel ermöglicht
Denial-of-Service-Angriff

Über die Funktion ‘ipv4_pktinfo_prepare’ innerhalb von
‘net/ipv4/ip_sockglue.c’ im Linux-Kernel bis inklusive Version 4.9.9 kann
ein entfernter, nicht authentisierter Angreifer mit Hilfe einer speziell
präparierten Anwendung oder durch IPv4-Datenverkehr mit ungültigen
IP-Optionen einen Denial-of-Service (DoS)-Angriff durchführen.

CVE-2017-5897: Schwachstelle in Linux-Kernel ermöglicht Ausspähen von
Informationen und Denial-of-Service-Angriff

Die Funktion ‘ip6gre_err()’ innerhalb von ‘/net/ipv6/ip6_gre.c’ ermöglicht
den Zugriff auf einen Speicherbereich, der etwa 40 Bytes hinter dem
beabsichtigten Speicherbereich liegt, wenn ‘GRE_KEY’ in den Generic Routing
Encapsulation-Markern (GRE Flags) enthalten ist. Ein entfernter, nicht
authentifizierter Angreifer kann durch Ausnutzen der Schwachstelle auf
Speicher außerhalb des zugewiesenen Speicherbereichs zugreifen und so
möglicherweise sensitive Informationen aus dem Prozessspeicher ausspähen
oder einen Denial-of-Service (DoS)-Zustand auszulösen.

CVE-2017-3135: Schwachstelle in BIND ermöglicht Denial-of-Service-Angriff

Wenn die Konfiguration eines Servers die gleichzeitige Verwendung der
DNS-Erweiterung DNS64 (‘Extensions for Network Address Translation from IPv6
Clients to IPv4 Servers’, RFC 6147) zur IPv6/IPv4-Übersetzung, als auch RPZ
(Domain Name Service Response Policy Zones) unterstützt, kann die
Verarbeitung von Anfragen (Queries) zu einem inkonsistenten Status führen,
wodurch es entweder zu einem INSIST Zusicherungsfehler (Assertion Failure)
und nachfolgendem Abbruch oder zu dem Versuch, durch einen NULL-Zeiger zu
lesen (NULL Pointer Read) kommen kann, infolgedessen auf den meisten
Systemen eine Schutzverletzung (Segmentation Fault, SEGFAULT) ausgelöst
wird; in beiden genannten Fällen wird der Prozess infolgedessen hart
beendet.

Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in
ISC BIND Servern, die per Konfiguration sowohl Response Policy Zones (RPZ)
als auch DNS64 (als Methode AAAA Records aus A Records zu synthetisieren)
unterstützen, dazu ausnutzen, einen Denial-of-Service (DoS)-Angriff
durchzuführen.

CVE-2016-9444: Schwachstelle in BIND ermöglicht Denial-of-Service-Angriff

Eine speziell präparierte Antwort, die einen Eintrag für den Delegation
Signer enthält (DS Resource Record), kann einen Zusicherungsfehler auslösen.
Ein entfernter, nicht authentifizierter Angreifer kann dadurch einen
Denial-of-Service-Angriff durchführen, in dessen Folge die Ausführung von
‘named’ beendet wird, so dass Anfragen von Klientensystemen nicht mehr
bearbeitet werden. Autoritative Server sind von der Schwachstelle nicht in
vollem Umfang betroffen.

CVE-2016-9147: Schwachstelle in BIND ermöglicht Denial-of-Service-Angriff

In Antworten von autoritativen Servern, in denen Domain Name System Security
Extensions (DNSSEC) aktiviert sind, an rekursive Server werden RRSIGs
(Signed RRsets) und weitere RRsets erwartet. Falls solche Antworten RRsets
im DNSSEC-Kontext enthalten, die inkosistent zu anderen RRsets in der
gleichen Anwort sind, wird ein Zusicherungsfehler (Assertion Failure)
ausgelöst. Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe
einer speziell präparierten Antwort einen Zusicherungsfehler auslösen, in
dessen Folge die Ausführung von ‘named’ beendet wird, so dass Anfragen von
Klientensystemen nicht mehr bearbeitet werden. Autoritative Server sind von
der Schwachstelle nicht in vollem Umfang betroffen.

CVE-2016-9131: Schwachstelle in BIND ermöglicht Denial-of-Service-Angriff

Eine speziell präparierte Antwort auf eine Anfrage beliebigen Typs (RTYPE
ANY) an einen rekursiven Server kann einen Zusicherungsfehler (Assertion
Failure) auslösen, wenn ‘named’ versucht, Ressourcen-Einträge (Ressource
Records, RR) in der Antwort auf die Anfrage dem Zwischenspeicher
hinzuzufügen. Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff ausführen, indem er ein Szenario schafft, in dem
eine ‘ANY’-Anfrage für einen ‘Query Domain Name’ (QNAME) an einen rekursiven
Server gesendet wird. Dadurch wird der Zusicherungsfehler ausgelöst und in
der Folge die Ausführung von ‘named’ beendet, so dass Anfragen von
Klientensystemen nicht mehr bearbeitet werden. Autoritative Server sind von
der Schwachstelle nicht in vollem Umfang betroffen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0771/

Schwachstelle CVE-2016-9131 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9131

Schwachstelle CVE-2016-9147 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9147

Schwachstelle CVE-2016-9444 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9444

Schwachstelle CVE-2017-5897 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5897

Schwachstelle CVE-2017-3135 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3135

Schwachstelle CVE-2017-5970 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5970

Sophos UTM Blog: Sophos UTM Up2Date 9.500 Released:
https://community.sophos.com/products/unified-threat-management/b/utm-blog/posts/utm-up2date-9-500-released

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.