Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 7 (19.10.2017):
Für Fedora EPEL 7 steht ein Sicherheitsupdate für nginx auf Version 1.12.2
im Status ‘testing’ bereit, mit dem die Schwachstelle behoben wird.
Version 6 (08.09.2017):
Für SUSE Webyast, Studio Onsite und Lifecycle Management Server in der
Version 1.3 stehen Sicherheitsupdates für ‘nginx-1.0’ zur Behebung der
Schwachstelle bereit.
Version 5 (29.08.2017):
Red Hat veröffentlicht für die Red Hat Software Collections 1 für Red Hat
Enterprise Linux (RHEL) 6, 6.7, 7 und 7.3 Sicherheitsupdates für
‘rh-nginx110-nginx’, um die Schwachstelle zu adressieren. Die Red Hat
Software Collections 1 für Server wird auf allen genannten Plattformen
aktualisiert, die Sicherheitsupdates für Workstations stehen für RHEL 6
und 7 bereit.
Version 4 (16.08.2017):
Für Fedora 25 und 26 steht nginx 1.12.1 als Sicherheitsupdate im Status
‘testing’ zur Behebung der Schwachstelle bereit. Mit dieser Version wird
auch das Modul ‘http_auth_request’ eingeführt.
Version 3 (31.07.2017):
Für openSUSE Leap 42.2 steht ein Sicherheitsupdate für nginx zur Behebung
der Schwachstelle bereit.
Version 2 (14.07.2017):
Canonical stellt für Ubuntu Linux 14.04 LTS, 16.04 LTS, 16.10 und 17.04
Sicherheitsupdates für nginx zur Verfügung.
Version 1 (13.07.2017):
Neues Advisory
Betroffene Software:
nginx < 1.12.1 nginx < 1.13.3 Red Hat Software Collections 1 Betroffene Plattformen: SUSE Lifecycle Management Server 1.3 SUSE Studio Onsite 1.3 WebYaST 1.3 Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 16.10 Canonical Ubuntu Linux 17.04 Debian Linux 8.8 Jessie Debian Linux 9.0 Stretch openSUSE Leap 42.2 Red Hat Enterprise Linux 6 Red Hat Enterprise Linux 6.7 Red Hat Enterprise Linux 7 Red Hat Enterprise Linux 7.3 Red Hat Fedora 25 Red Hat Fedora 26 Extra Packages for Red Hat Enterprise Linux 7 Eine Schwachstelle in nginx ermöglicht einem entfernten, nicht authentisierten Angreifer mit Hilfe einer speziell präparierten Anfrage Informationen aus den Kopfdaten zwischengespeicherter Dateien auszuspähen, wenn nginx mit Standard-Modulen verwendet wird, oder Informationen aus dem Speicher von 'Worker'-Prozessen auszuspähen oder einen Denial-of-Service (DoS)-Angriff durchzuführen, wenn Drittanbieter-Module verwendet werden. Verwundbare Drittanbieter-Module sind derzeit nicht bekannt. Debian stellt für die vormals stabile Distributionen Jessie sowie die stabile Distribution Stretch Backport-Sicherheitsupdates bereit. Patch: Debian Security Advisory DSA-3908-1 https://www.debian.org/security/2017/dsa-3908
Patch:
Ubuntu Security Notice USN-3352-1
http://www.ubuntu.com/usn/usn-3352-1/
Patch:
openSUSE Security Update openSUSE-SU-2017:2003-1
http://lists.opensuse.org/opensuse-updates/2017-07/msg00109.html
Patch:
Fedora Security Update FEDORA-2017-aecd25b8a9 (Fedora 26,
nginx-1.12.1-1.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-aecd25b8a9
Patch:
Fedora Security Update FEDORA-2017-c27a947af1 (Fedora 25,
nginx-1.12.1-1.fc25)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c27a947af1
Patch:
Red Hat Security Advisory RHSA-2017:2538
https://access.redhat.com/errata/RHSA-2017:2538
Patch:
SUSE Security Update SUSE-SU-2017:2387-1
http://lists.suse.com/pipermail/sle-security-updates/2017-September/003192.html
Patch:
Fedora Security Update FEDORA-EPEL-2017-1e541e27e9 (Fedora EPEL 7,
nginx-1.12.2-1)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-1e541e27e9
CVE-2017-7529: Schwachstelle in nginx ermöglicht Ausspähen von Informationen
Im Bereichsfilter-Modul in der Funktion ‘ngx_http_range_parse’ in nginx
existiert eine Schwachstelle, die ein Angreifer mit Hilfe einer speziell
gestalteten Anfrage ausnutzen kann. Wird nginx mit Standard-Modulen
verwendet, kann ein Angreifer Kopfdateien aus zwischengespeicherten Dateien
erhalten, wenn Antworten aus dem Cache zurückgegeben werden, welche
IP-Adressen von Backend-Servern oder andere sensitive Informationen
enthalten können. Im Kontext von Drittanbieter-Modulen ist es darüber hinaus
möglich Speicher von ‘Worker’-Prozessen auszuspähen oder einen
Denial-of-Service (DoS)-Angriff durchzuführen. Informationen zu verwundbaren
Modulen legen derzeit nicht vor. Ein entfernter, nicht authentisierter
Angreifer kann Informationen ausspähen oder einen Denial-of-Service-Angriff
durchführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1216/
Schwachstelle CVE-2017-7529 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7529
Debian Security Advisory DSA-3908-1:
https://www.debian.org/security/2017/dsa-3908
nginx Security Advisory (CVE-2017-7529):
http://mailman.nginx.org/pipermail/nginx-announce/2017/000200.html
Ubuntu Security Notice USN-3352-1:
http://www.ubuntu.com/usn/usn-3352-1/
openSUSE Security Update openSUSE-SU-2017:2003-1:
http://lists.opensuse.org/opensuse-updates/2017-07/msg00109.html
Fedora Security Update FEDORA-2017-aecd25b8a9 (Fedora 26, nginx-1.12.1-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-aecd25b8a9
Fedora Security Update FEDORA-2017-c27a947af1 (Fedora 25, nginx-1.12.1-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c27a947af1
Red Hat Security Advisory RHSA-2017:2538:
https://access.redhat.com/errata/RHSA-2017:2538
SUSE Security Update SUSE-SU-2017:2387-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-September/003192.html
Fedora Security Update FEDORA-EPEL-2017-1e541e27e9 (Fedora EPEL 7,
nginx-1.12.2-1):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-1e541e27e9
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
