Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 3 (15.06.18):
Für Fedora 27 und 28 stehen Sicherheitsupdates für ‘ibgcrypt’ auf Version
1.8.3 im Status ‘testing’ bzw. ‘pending’ bereit. Außerdem wurden für die
unter der Bezeichnung ‘Return Of the Hidden Number Problem’ (ROHNP)
beschriebene Schwachstelle (CVE-2018-0495 für Libgcrypt) nun eine Reihe
von Produkt-spezifischen CVEs vergeben, unter anderem CVE-2018-12434 für
LibreSSL und CVE-2018-12435 für Botan.
Version 2 (14.06.18):
Eine weitere Schwachstelle (CVE-2018-0495) u.a. in Libgcrypt ermöglicht
einem lokalen, nicht authentisierten Angreifer durch einen
Seitenkanalangriff private ECDS- und DSA-Schlüssel wiederherzustellen. Für
Libgcrypt wurde diese Schwachstelle in den Versionen 1.7.10 und 1.8.3
behoben. Diese Schwachstelle wurde von OpenSSL zwar bisher in keinem
Advisory adressiert, laut Commit im GitHub Repository allerdings bereits
behoben (siehe Referenz). Für LibreSSL wurden die Versionen 2.7.4 und
2.6.5 als Sicherheitsupdates zur Behebung beider Schwachstellen
veröffentlicht. Die Schwachstellen finden sich auch in anderen Produkten
wieder, welche momentan gepatcht werden (siehe Referenz). Erwähnt werden
hier die Produkte NSS, WolfCrypt, Botan, MatrixSSL und BoringSSL. Wir
werden Sie auf dem laufenden halten.
Version 1 (13.06.18):
Neues Advisory
Ein entfernter, nicht authentisierter Angreifer, der einen Server
kontrolliert, zu dem ein Client eine verschlüsselte Verbindung aufbauen
möchte, kann innerhalb des TLS-Handshakes dem Client eine sehr große
Primzahl zur Schlüsselberechnung senden, diesen dadurch zum Hängen bringen
und somit einen Denial-of-Service (DoS)-Angriff durchführen.
Derzeit existiert kein offizielles Release zur Behebung der Schwachstelle.
Allerdings hat der Hersteller angekündigt, die Schwachstelle in den
Versionen 1.1.0i und 1.0.2p zu beheben. Anwender, die vorab einen Patch
installieren möchten, finden Informationen dazu im OpenSSL Security Advisory
[12 Jun 2018] (siehe Referenzen).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-1138]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
