DFN-CERT-2011-1946 Schwachstellen in Lighttpd [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket lighttpd in Debian GNU/Linux 5.0 (lenny) vor Version 1.4.19+lenny3
Paket lighttpd in Debian GNU/Linux 6.0 (squeeze) vor Version
1.4.28-2+squeeze1
FÃŒr Pakete in Debian GNU/Linux 6.0 (squeeze) werden Patches nachgereicht
Paket lighttpd in Debian GNU/Linux unstable (sid) vor Version 1.4.30-1

Betroffene Plattformen:

Debian GNU/Linux 5.0 (lenny)
Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux unstable (sid)

Schwachstellen in Lighttpd ermÃ¶glichen es einem entfernten Angreifer den
Server zum Absturz zu bringen (Denial of Service) oder sich unter bestimmten
Bedingungen Zugang zu vertraulichen Daten zu schaffen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2011-4362: Schwachstelle in Lighttpd

Lighttpd enthÃ€lt eine Schwachstelle in der Base64 Dekodierungsroutine,
welche unter anderem die Benutzereingabe wÃ€hrend einer HTTP
Authentifizierung dekodiert. Dies fÃŒhrt zu einem Speicherzugriff auÃ?erhalb
des gÃŒltigen Stackbereichs. Ein entfernter Angreifer kann diese
Schwachstelle ausnutzen, indem er eine modifizierte HTTP
Authentifizierungsanfrage schickt, welche bei der Dekodierung den Server zum
Absturz bringt und somit einen Denial of Service Zustand auslÃ¶st.

CVE-2011-3389: Schwachstelle in der SSL 3.0/TLS 1.0 Implementierung

In der SSL 3.0/TLS 1.0 Implementierung von AES im Cipher-Block-Chaining-Mode
(CBC) werden Initialisierungsvektoren in unsicherer Weise gesetzt. Hiervon
sind insbesondere Webserver betroffen, die Datenverkehr ÃŒber HTTPS
Verbindungen gesichert abwickeln. Ein entfernter Angreifer, der sich als
Man-in-the-Middle (MitM) in die Verbindung einschalten und im Kontext des
Benutzers mit dem Server kommunizieren kann, vermag diese Schwachstelle
auszunutzen, um sich Zugang zu vertraulichen Daten, z.B. verschlÃŒsselten
Cookies, zu verschaffen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2011-1946/

Das Hersteller Advisory:
http://www.debian.org/security/2011/dsa-2368

Schwachstelle CVE-2011-4362:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4362

Schwachstelle CVE-2011-3389:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3389