Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 2 (02.04.19):
Debian informiert mittels der Meldung DLA 1731-2 darüber, dass das
Sicherheitsupdate, welches mit der Meldung DLA 1731-1 verteilt wurde,
eine Regression im VMware Virtual Network Adapter Treiber (vmxnet3)
verursacht hat. Das jetzt veröffentlichte Update behebt diese Regression
sowie frühere Regressionen in der CIFS Network Dateisystemimplementierung,
die über das Update DLA-1422-1 eingeführt wurden.
Version 1 (28.03.19):
Neues Advisory

Ein entfernter, nicht authentisierter Angreifer kann mit Hilfe eines
manipulierten USB-Sound-Gerätes, welches ein Benutzer zuvor mit seinem Gerät
verbinden muss, einen Denial-of-Service (DoS)-Angriff und möglicherweise
weitere, nicht genauer spezifizierte Angriffe durchführen. Ein vermutlich
nicht authentisierter Angreifer im benachbarten Netzwerk kann spekulative
Instruktionen vom Betriebssystem oder Hypervisor hinter Speicher- und
Sicherheitsgrenzen ausführen lassen und dadurch auf privilegierten Speicher
zugreifen. Mehrere Schwachstellen ermöglichen einem einfach authentisierten
Angreifer im benachbarten Netzwerk die Durchführung von Denial-of-Service
(DoS)-Angriffen, das Ausspähen von Informationen und möglicherweise das
Erlangen privilegierten Zugriffs auf ein betroffenes System. Ein lokaler, in
vielen Fällen nicht authentisierter Angreifer kann zahlreiche Schwachstellen
ausnutzen, um Denial-of-Service (DoS)-Angriffe durchzuführen, Privilegien zu
eskalieren, sensible Informationen auszuspähen und weitere, nicht genauer
spezifizierte Angriffe auszuführen. Ein Angreifer mit physischem Zugriff auf
ein Gerät kann einen Denial-of-Service (DoS)-Angriff durchführen und
möglicherweise beliebigen Programmcode zur Ausführung bringen.

Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate für den Linux-Kernel
auf Version 3.16.64-1 bereit, um diese Schwachstellen zu beheben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2019-0622]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html