DFN-CERT-2012-2132 Schwachstelle in der Bibliothek libproxy [Linux][Fedora]

- 19. November 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket libproxy

Betroffene Plattformen:

Fedora 17

Eine Schwachstelle in der Bibliothek libproxy erlaubt entfernten Angreifern
schlimmstenfalls beliebige Befehle im Kontext der Anwendung, welche libproxy
verwendet, auszuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2012-4504: Buffer Overflow-Schwachstelle in der Bibliothek libproxy

In libproxy vor Version 0.4.9 wird in der Methode url::get_pac(), welche zum
Herunterladen einer Proxy-Autokonfiguration dient, die Größe des Buffers zum
Zwischenspeichern der Datei unter bestimmten Bedingungen falsch gesetzt.
Hierdurch kann ein entfernter Angreifer durch Bereitstellen einer
präparierten Proxy-Autokonfigurationsdatei oder mithilfe eines
Man-in-the-Middle-Angriffs einen Buffer Overflow auslösen und somit
schlimmstenfalls beliebige Befehle im Kontext der Anwendung, welche libproxy
nutzt, auszuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-2132/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-November/092493.html

Schwachstelle CVE-2012-4504:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4504