Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (08.11.2017):
Für die SUSE Linux Enterprise Produkte Desktop, Server und Software
Development Kit in den Versionen 12 SP2 und 12 SP3, für den SUSE Linux
Enterprise Server for Raspberry Pi 12 SP2 sowie für SUSE Container as a
Service Platform ALL und OpenStack Cloud Magnum Orchestration 7 stehen
Sicherheitsupdates zur Behebung der Schwachstelle in ‘krb5’ bereit.
Version 1 (26.10.2017):
Neues Advisory

Betroffene Software:

MIT Kerberos 5

Betroffene Plattformen:

SUSE Container-as-a-Service-(CaaS)-Plattform ALL
SUSE Linux Enterprise Software Development Kit 12 SP2
SUSE Linux Enterprise Software Development Kit 12 SP3
SUSE OpenStack Cloud 7
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Desktop 12 SP3
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
SUSE Linux Enterprise Server 12 SP3
Red Hat Fedora 26
Red Hat Fedora 27

Ein möglicherweise entfernter, nicht authentisierter Angreifer kann eine
nicht näher beschriebene Schwachstelle in MIT Kerberos ausnutzen, um einen
Pufferspeicherüberlauf zu provozieren, in dessen Folge ein Denial-of-Service
(DoS)-Zustand am wahrscheinlichsten ist. Dass eine Programmcodeausführung
oder andere Angriffsarten möglich sind, kann nicht ausgeschlossen werden.

Für Fedora 26 und 27 stehen die Pakete ‘krb5-1.15.2-4.fc26’ und
‘krb5-1.15.2-4.fc27’ als Sicherheitsupdates bereit. Das Sicherheitsupdate
für Fedora 27 besitzt noch den Status ‘pending’, während sich das
Sicherheitsupdate für Fedora 26 im Status ‘testing’ befindet.

Patch:

Fedora Security Update FEDORA-2017-2dd6c320a4 (Fedora 27, krb5-1.15.2-4)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-2dd6c320a4

Patch:

Fedora Security Update FEDORA-2017-41957e0f90 (Fedora 26, krb5-1.15.2-4)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-41957e0f90

Patch:

SUSE Security Update SUSE-SU-2017:2948-1

http://lists.suse.com/pipermail/sle-security-updates/2017-November/003380.html

CVE-2017-15088: Schwachstelle in MIT Kerberos ermöglicht
Denial-of-Service-Angriff

Eine nicht näher erläuterte Schwachstelle in der Funktion
‘get_matching_data’ in MIT Kerberos (krb5) ermöglicht es, den Pufferspeicher
zum Überlauf zu bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1895/

Fedora Security Update FEDORA-2017-2dd6c320a4 (Fedora 27, krb5-1.15.2-4):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-2dd6c320a4

Fedora Security Update FEDORA-2017-41957e0f90 (Fedora 26, krb5-1.15.2-4):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-41957e0f90

Schwachstelle CVE-2017-15088 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15088

SUSE Security Update SUSE-SU-2017:2948-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-November/003380.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.