Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
OpenSSL < 1.0.2n Betroffene Plattformen: IBM AIX 5.3 IBM AIX 6.1 IBM AIX 7.1 IBM AIX 7.2 IBM VIOS 2.2.x Eine Schwachstelle in OpenSSL betrifft auch IBM AIX und VIOS. Diese ermöglicht einem entfernten, nicht authentisierten Angreifer das Ausspähen von Informationen. IBM bestätigt die Schwachstelle und stellt Sicherheitsupdates für AIX 5.3, 6.1, 7.1, 7.2 und VIOS 2.2.x sowie Anweisungen zu deren Installation zur Behebung der Schwachstelle zur Verfügung. Patch: IBM Security Advisory openssl_advisory25.asc http://aix.software.ibm.com/aix/efixes/security/openssl_advisory25.asc
CVE-2017-3737: Schwachstelle in OpenSSL ermöglicht Umgehung von
Sicherheitsvorkehrungen
OpenSSL enthält eine Schwachstelle, die auf einer fehlerhaften
Implementierung der ‘error state’ Prozedur in den Funktionen ‘SSL_read’ und
‘SSL_write’ beruht. In der Folge werden Informationen am ‘SSL/TLS
record-layer’ u.a. nicht mehr verschlüsselt, sofern eine fehlerhafte
Software diese Funktionen nach Auftreten eines Fehlers erneut aufruft. Ein
entfernter, nicht authentisierter Angreifer kann die Schwachstelle ausnutzen
und dadurch beispielsweise Informationen ausspähen.
Im Kontext von Oracle MySQL betrifft diese Schwachstelle die Komponente
Server: Packaging (OpenSSL) des Produktes MySQL Server und ermöglicht dem
Angreifer das Ausspähen von Informationen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0212/
Schwachstelle CVE-2017-3737 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3737
IBM Security Advisory openssl_advisory25.asc:
http://aix.software.ibm.com/aix/efixes/security/openssl_advisory25.asc
IBM PSIRT Blog: Vulnerability in OpenSSL affects AIX (CVE-2017-3737):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-vulnerability-in-openssl-affects-aix-cve-2017-3737/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
