Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (30.10.2017):
Für openSUSE Leap 42.2 und openSUSE Leap 42.3 stehen Sicherheitsupdates
für ‘cURL’ bereit.
Version 1 (23.10.2017):
Neues Advisory

Betroffene Software:

cURL < 7.56.1 Betroffene Plattformen: SUSE Container-as-a-Service-(CaaS)-Plattform ALL SUSE Linux Enterprise Software Development Kit 12 SP2 SUSE Linux Enterprise Software Development Kit 12 SP3 SUSE OpenStack Cloud 7 openSUSE Leap 42.2 openSUSE Leap 42.3 SUSE Linux Enterprise Desktop 12 SP2 SUSE Linux Enterprise Desktop 12 SP3 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi SUSE Linux Enterprise Server 12 SP3 Ein entfernter, nicht authentisierter Angreifer kann zwei Schwachstellen cURL ausnutzen, um Informationen auszuspähen oder auf verschiedenen Weise Denial-of-Service (DoS)-Angriffe gegen die Bibliothek durchzuführen. Der Hersteller hat die Schwachstelle CVE-2017-1000254 mit der libcurl Version 7.56.0 behoben und stellt zur Behebung der Schwachstelle CVE-2017-1000257 nun libcurl Version 7.56.1 zur Verfügung. Für die SUSE Linux Enterprise Produkte Software Development Kit, Desktop und Server jeweils in den Versionen 12 SP2 und 12 SP3, SUSE Linux Enterprise Server for Raspberry Pi 12 SP2, SUSE Container as a Service Platform ALL sowie OpenStack Cloud Magnum Orchestration 7 stehen Backport-Sicherheitsupdates bereit, durch welche beide Schwachstellen adressiert werden. Patch: SUSE Security Update SUSE-SU-2017:2831-1 http://lists.suse.com/pipermail/sle-security-updates/2017-October/003350.html

Patch:

openSUSE Security Update openSUSE-SU-2017:2880-1

http://lists.opensuse.org/opensuse-updates/2017-10/msg00098.html

CVE-2017-1000257: Schwachstelle in cURL ermöglicht Ausspähen von
Informationen

Im IMAP Handler in der Bibliothek cURL (libcurl) existiert eine
Schwachstelle, durch die es zu einem Lesen über die Grenzen des Puffers
(Buffer Overrun) kommen kann. Durch eine IMAP FETCH Antwortzeile wird die
Größe der zurückgegebenen Daten als Anzahl von Bytes angezeigt. Wenn diese
Antwort Null Bytes ist, würde ‘libcurl’ diese (nicht existierenden) Daten
mit einem Zeiger (Pointer) und der Größe (Null) an die Funktion
‘deliver-data’ weiterreichen. Diese Funktion behandelt Null aber als
magische Zahl und ruft ‘strlen’ auf, um die Länge der Daten zu bestimmen. Da
die Funktion ‘strlen’ auf einem Heap-basierten Puffer aufgerufen wird, der
nicht Null-abgeschlossen sein könnte, könnte ‘libcurl’ über dessen Ende
hinaus lesen. Das Resultat, aus welchem dahinter liegenden Speicher auch
immer, wird dann an die Anwendung ausgeliefert oder die Anwendung stürzt ab.
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um Informationen auszuspähen oder einen Denial-of-Service
(DoS)-Zustand zu bewirken.

CVE-2017-1000254: Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff

Bei Verbindung mit einem FTP-Server verwendet libcurl den Befehl ‘PWD’, um
das aktuelle Verzeichnis in Erfahrung zu bringen. Der Server antwortet
darauf mit einer Zeichenkette, die den Pfad in doppelten Anführungszeichen
enthält. Diese wird für weitere Anfragen wiederverwendet. Falls die
Zeichenkette kein schließendes Anführungszeichen enthält, hängt libcurl
fälschlicherweise kein NULL-Byte an den Namenspuffer, wodurch eine
Zugriffsverletzung auftreten kann oder Daten hinter dem Puffer als Teil der
Pfadangabe interpretiert werden. Ein entfernter, nicht authentisierter
Angreifer kann eine Schwachstelle in libcurl mit Hilfe eines speziell
präparierten FTP-Servers ausnutzen, um die Verbindung von libcurl-basierten
Clients zum Server zu unterbinden und eine Schutzverletzung auszulösen,
wodurch ein Denial-of-Service (DoS)-Zustand eintritt.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1872/

Schwachstelle CVE-2017-1000254 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000254

SUSE Security Update SUSE-SU-2017:2831-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-October/003350.html

Project curl Security Advisory, October 23rd 2017: IMAP FETCH response out of
bounds read:
https://curl.haxx.se/docs/adv_20171023.html

Schwachstelle CVE-2017-1000257 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000257

openSUSE Security Update openSUSE-SU-2017:2880-1:
http://lists.opensuse.org/opensuse-updates/2017-10/msg00098.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.