Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Redis < 4.0.2 Betroffene Plattformen: SUSE Package Hub for SUSE Linux Enterprise 12 openSUSE Leap 42.2 openSUSE Leap 42.3 Zwei Schwachstellen in Redis ermöglichen einem entfernten, nicht authentisierten Angreifer die Ausführung beliebigen Programmcodes. Für SUSE Package Hub for SUSE Linux Enterprise 12 sowie openSUSE Leap 42.2 und openSUSE Leap 42.3 stehen Sicherheitsupdates für 'redis' auf Version 4.0.2 zur Verfügung. Die beiden zugehörigen Sicherheitshinweise nennen jeweils nur CVE-2016-8339 im Text und referenzieren ansonsten nur CVE-2016-10517. Es darf angenommen werden, dass mit der Version 4.0.2 die beiden genannten Schwachstellen und weitere Schwachstellen, die zwischen den Veröffentlichungen von Redis 3.2.7 und 4.0.2 bekannt geworden sind, behoben werden. Patch: openSUSE Security Update openSUSE-SU-2017:2984-1 http://lists.opensuse.org/opensuse-updates/2017-11/msg00033.html

Patch:

openSUSE Security Update openSUSE-SU-2017:2994-1

http://lists.opensuse.org/opensuse-updates/2017-11/msg00040.html

CVE-2016-10517: Schwachstelle in Redis ermöglicht Ausführen beliebigen
Programmcodes

In ‘networking.c’ in Redis vor 3.2.7 existiert eine Schwachstelle aufgrund
fehlender Prüfungen für POST und Host-Zeichenketten, welche im
Redis-Protokoll nicht gültig sind (aber üblicherweise auftreten, wenn durch
einen Angriff ein HTTP-Request an den TCP-Port von Redis ausgelöst wird),
wodurch ‘Cross Protocol Scripting’ möglich ist. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, um durch
‘Cross Protocol Scripting’ möglicherweise beliebigen Skript-Code zur
Ausführung zu bringen.

CVE-2016-8339: Schwachstelle in Redis ermöglicht Ausführen beliebigen
Programmcodes

In Redis 3.2.x vor Version 3.2.4 existiert eine Schwachstelle, die bei der
Verarbeitung der ‘client-output-buffer-limit’-Option eines speziell
präparierten ‘CONFIG SET’-Kommandos zum Schreiben außerhalb von
Puffergrenzen führt. Ein entfernter, nicht authentisierter Angreifer kann
beliebigen Programmcode ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2015/

Schwachstelle CVE-2016-8339 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8339

Schwachstelle CVE-2016-10517 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-10517

openSUSE Security Update openSUSE-SU-2017:2984-1:
http://lists.opensuse.org/opensuse-updates/2017-11/msg00033.html

openSUSE Security Update openSUSE-SU-2017:2994-1:
http://lists.opensuse.org/opensuse-updates/2017-11/msg00040.html

Redis 4.0.2 Release Notes:
https://github.com/antirez/redis/blob/4.0.2/00-RELEASENOTES

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.