Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (09.06.2017):
Für die Distribution openSUSE Leap 42.2 steht ein Sicherheitsupdate für
Gajim zur Verfügung, um die Schwachstelle zu beheben.
Version 1 (07.06.2017):
Neues Advisory

Betroffene Software:

Gajim < 0.16.8 Betroffene Plattformen: openSUSE Leap 42.2 Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Eine Schwachstelle im 'XEP-0146: Remote Controlling Clients'-Protokoll in Gajim ermöglicht es einem bösartigen Server-Administrator sich durch das Vortäuschen von XML-Strophen (Spoofing) als Benutzer auszugeben, wodurch ungelesene Nachrichten im Klartext an diesen weitergeleitet und somit ausgespäht werden können. Dies schließt verschlüsselte OTR (Off-the-Record)-Nachrichten mit ein. Für Fedora 24, 25 und 26 steht Gajim in der Version 0.16.8 als Sicherheitsupdate zur Verfügung. Das Sicherheitsupdate für Fedora 26 ist im Status 'pending', während sich die anderen bereits im Status 'testing' befinden. Patch: Fedora Security Update FEDORA-2017-3c561780c8 (Fedora 25, gajim-0.16.8-1) https://bodhi.fedoraproject.org/updates/FEDORA-2017-3c561780c8

Patch:

Fedora Security Update FEDORA-2017-62547837ba (Fedora 24, gajim-0.16.8-1)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-62547837ba

Patch:

Fedora Security Update FEDORA-2017-e6deec5bd0 (Fedora 26, gajim-0.16.8-1)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-e6deec5bd0

Patch:

openSUSE Security Update openSUSE-SU-2017:1506-1

http://lists.opensuse.org/opensuse-updates/2017-06/msg00020.html

CVE-2016-10376: Schwachstelle in Gajim ermöglicht Ausspähen von
Informationen

In Gajim bis einschließlich Version 0.16.7 existiert eine Schwachstelle
aufgrund einer zu strikten Implementierung des ‘XEP-0146: Remote Controlling
Clients’-Protokolls. Dieses Protokoll dient Benutzern dazu, sich entfernt
auf ihrem XMPP-Client anzumelden und ungelesene Nachrichten weiterzuleiten
(Forwarding). Das Protokoll-Design erlaubt es einem Server-Administrator
gültige XML-Strophen (Stanzas) eines XMPP-Clients zu fälschen (Spoofing) und
Gajim anzuweisen ihm ungelesene Nachrichten im Klartext zu übertragen.
Dadurch können beispielsweise auch verschlüsselte OTR
(Off-the-Record)-Nachrichten im Klartext versendet und so ausgespäht werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0969/

Schwachstelle CVE-2016-10376 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-10376

Fedora Security Update FEDORA-2017-3c561780c8 (Fedora 25, gajim-0.16.8-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-3c561780c8

Fedora Security Update FEDORA-2017-62547837ba (Fedora 24, gajim-0.16.8-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-62547837ba

Fedora Security Update FEDORA-2017-e6deec5bd0 (Fedora 26, gajim-0.16.8-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-e6deec5bd0

openSUSE Security Update openSUSE-SU-2017:1506-1:
http://lists.opensuse.org/opensuse-updates/2017-06/msg00020.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.