Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (09.01.2018):
IBM informiert darüber, dass auch IBM Security Access Manager Appliances
in den Versionen IBM Security Access Manager 9.0.3.0 – 9.0.3.1 von diesen
Schwachstellen in GnuTLS betroffen sind, und stellt IBM Security Access
Manager 9.0.4.0 als Sicherheitsupdate bereit (APAR IJ01547).
Version 2 (08.08.2017):
Oracle stellt zur Behebung der Schwachstellen für Oracle Linux 7 (x86_64)
ein Sicherheitsupdate für GnuTLS bereit.
Version 1 (01.08.2017):
Neues Advisory
Betroffene Software:
GNU GnuTLS <= 3.3.26
IBM Security Access Manager >= 9.0.3.0
IBM Security Access Manager < 9.0.4.0
Betroffene Plattformen:
IBM Security Access Manager Appliance
Oracle Linux 7
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Workstation 7
Mehrere Schwachstellen in GnuTLS können von einem entfernten, nicht
authentisierten Angreifer ausgenutzt werden, um Denial-of-Service-Angriffe
durchzuführen, Sicherheitsvorkehrungen zu umgehen oder möglicherweise
beliebigen Programmcode zur Ausführung bringen.
Red Hat stellt für die Red Hat Enterprise Linux 7-Produkte Desktop, HPC
Node, Server und Workstation das Paket 'gnutls-3.3.26-9.el7' als
Sicherheitsupdate zur Verfügung.
Patch:
Red Hat Security Advisory RHSA-2017:2292
http://rhn.redhat.com/errata/RHSA-2017-2292.html
Patch:
Oracle Linux Security Advisory ELSA-2017-2292
https://linux.oracle.com/errata/ELSA-2017-2292.html
Patch:
IBM Security Bulletin 2012330
http://www.ibm.com/support/docview.wss?uid=swg22012330
CVE-2017-7507: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
In GnuTLS existiert eine Schwachstelle, durch die es bei der Dekodierung
einer gültigen ‘client hello’-Nachricht durch die ‘OCSP status request’
TLS-Extension zur Dereferenzierung eines Nullzeigers (Null Pointer
Dereference) und infolgedessen zum Absturz der Anwendung kommen kann.
Hiervon betroffen sind GnuTLS-Serveranwendungen. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, um unter
Umständen einen Denial-of-Service (DoS)-Angriff durchzuführen.
CVE-2017-7869: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
In der Funktion ‘cdk_pkt_read’ in ‘opencdk/read-packet.c’ in GnuTLS vor
Version 3.5.10 existiert eine Schwachstelle, durch die es zu einem
Ganzzahlüberlauf (Integer Overflow) und Pufferüberlauf auf dem Heap
(Heap-based Buffer Overflow) und infolgedessen zu einem Schreiben außerhalb
der zugewiesenen Speichergrenzen (Out-of-bounds Write) kommen kann. Hierbei
handelt es sich um die in GNUTLS-SA-2017-3 unter (A) referenzierte
Schwachstelle. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, um einen Denial-of-Service-Zustand zu bewirken oder
möglicherweise beliebigen Programmcode zur Ausführung zu bringen.
CVE-2017-5337: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
Bestimmte Prüfungen bei der Verarbeitung von Datenströmen in
‘lib/opencdk/read-packet.c’ sind nicht genau genug, wodurch es zu
Lesezugriffen auf nicht initialisierte Speicherbereiche kommen kann (Heap
Read Overflow). Ein entfernter, nicht authentifizierter Angreifer kann
dadurch einen Denial-of-Service-Angriff durchführen.
CVE-2017-5336: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
In ‘lib/opencdk/pubkey.c’ kann es zu einem Überlauf auf dem Stack kommen.
Ein entfernter, nicht authentifizierter Angreifer kann dadurch einen
Denial-of-Service-Angriff durchführen.
CVE-2017-5335: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
In ‘lib/opencdk/read-packet.c’ kann es bei der Verarbeitung von Datenströmen
zu einem Out-of-Memory-Fehler kommen, da eine Fehlerprüfung nicht
implementiert ist. Ein entfernter, nicht authentifizierter Angreifer kann
dadurch einen Denial-of-Service-Angriff durchführen.
CVE-2017-5334: Schwachstelle in GnuTLS ermöglicht Denial-of-Service-Angriff
Falls X.509-Zertifikate mit ‘Proxy Certificate Information’-Erweiterung
(ProxyCertInfo Extension) in GnuTLS verarbeitet werden, kann es zur
versuchten Freigabe bereits freigegebener Speicherbereiche kommen, wenn ein
an den Benutzer zurückgegebener Wert freigegeben wird. Der Fehler liegt
dabei in der Funktion ‘gnutls_x509_ext_import_proxy’ und tritt auf, wenn die
Sprache, in der die zugehörige Richtlinie verfasst ist, gesetzt ist
(ProxyPolicy :: policyLanguage), die Richtlinie selbst (ProxyPolicy ::
policy) aber nicht. Weitere Informationen zur ‘ProxyCertInfo Extension’
finden sich in ‘RFC 3820: Internet X.509 Public Key Infrastructure (PKI)
Proxy Certificate Profile’. Ein entfernter, nicht authentifizierter
Angreifer kann mit Hilfe eines speziell präparierten X.509-Zertifikats einen
Denial-of-Service-Angriff und möglicherweise weitere Angriffe durchführen.
CVE-2016-7444: Schwachstelle in GnuTLS ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine nicht näher spezifizierte Schwachstelle in GnuTLS 3.3.24,
3.4.14 und 3.5.3 sowie früheren Versionen, wenn das Online Certificate
Status Protocol (OCSP) verwendet wird, wodurch Zertifikate unter bestimmten
Umständen fälschlicherweise als gültig ausgewiesen werden können
(GNUTLS-SA-2016-3). Ein entfernter, nicht authentisierter Angreifer kann
durch das Ausnutzen der Schwachstelle ungültige Zertifikate als gültig
ausweisen und dadurch Sicherheitsvorkehrungen umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1331/
Schwachstelle CVE-2016-7444 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7444
Schwachstelle CVE-2017-5334 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5334
Schwachstelle CVE-2017-5335 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5335
Schwachstelle CVE-2017-5336 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5336
Schwachstelle CVE-2017-5337 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5337
Schwachstelle CVE-2017-7869 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7869
Schwachstelle CVE-2017-7507 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7507
Red Hat Security Advisory RHSA-2017:2292:
http://rhn.redhat.com/errata/RHSA-2017-2292.html
Oracle Linux Security Advisory ELSA-2017-2292:
https://linux.oracle.com/errata/ELSA-2017-2292.html
IBM Security Bulletin 2012330:
http://www.ibm.com/support/docview.wss?uid=swg22012330
IBM PSIRT Blog: IBM Security Access Manager Appliance is affected by GnuTLS
vulnerabilities:
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-ibm-security-access-manager-appliance-is-affected-by-gnutls-vulnerabilities/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
