Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (13.12.2017):
Für openSUSE Leap 42.2 und 42.3 stehen Sicherheitsupdates für ‘libheimdal’
bereit, um die Schwachstelle zu beheben.
Version 1 (08.12.2017):
Neues Advisory
Betroffene Software:
Heimdal <= 7.4 Betroffene Plattformen: Debian Linux 9.2 Stretch openSUSE Leap 42.2 openSUSE Leap 42.3 Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in Heimdal bis inklusive Version 7.4 ausnutzen, um Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in Heimdal bis inklusive Version 7.4 ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen. Der Hersteller hat bisher nicht mit einem Sicherheitsupdate reagiert, über das entsprechende GitHub Issue #353 stehen aber bereits Informationen zur Schwachstelle und Links zu möglichen Fixes zur Verfügung. Die Schwachstelle wurde möglicherweise mit Heimdal 7.x eingeführt. Debian stellt bereits ein Backport-Sicherheitsupdate zur Behebung der Schwachstelle in Debian Stretch (stable) zur Verfügung. Patch: Debian Security Advisory DSA-4055-1 https://www.debian.org/security/2017/dsa-4055
Patch:
openSUSE Security Update openSUSE-SU-2017:3268-1
http://lists.opensuse.org/opensuse-updates/2017-12/msg00043.html
CVE-2017-17439: Schwachstelle in Heimdal ermöglicht
Denial-of-Service-Angriff
Der Parser für UDP-Daten behandelt UDP-Pakete mit leerem Datenfeld für
Client oder Realm fehlerhaft. Die Verarbeitung solcher Daten mit der
Funktion ‘_kdc_as_rep’ aus ‘kdc/kerberos5.c’ oder
‘der_length_visible_string’ aus ‘lib/asn1/der_length.c’ führt in einem
solchen Fall zur Dereferenzierung von NULL-Zeigern.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2222/
Schwachstelle CVE-2017-17439 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-17439
Debian Security Advisory DSA-4055-1:
https://www.debian.org/security/2017/dsa-4055
Heimdal GitHub Issue #353: Remote unauthenticated DoS in Heimdal-KDC 7.1:
https://github.com/heimdal/heimdal/issues/353
openSUSE Security Update openSUSE-SU-2017:3268-1:
http://lists.opensuse.org/opensuse-updates/2017-12/msg00043.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
