Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Paket stunnel
Betroffene Plattformen:
Red Hat Enterprise Linux Desktop (v. 6) – i386, x86_64
Red Hat Enterprise Linux HPC Node Optional (v. 6) – x86_64
Red Hat Enterprise Linux Server (v. 6) – i386, ppc64, s390x, x86_64
Red Hat Enterprise Linux Workstation (v. 6) – i386, x86_64
Eine Schwachstelle in Stunnel ermöglicht einem entfernten Angreifer
schlimmstenfalls beliebige Befehle auszuführen.
Software Upgrade:
Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.
CVE-2013-1762: Schwachstelle in Stunnel
Stunnel enthält einen Fehler in der Umwandlung von Integerwerten, falls die
Microsoft NT
LAN Manager (NTLM) Authentifizierung gemeinsam mit der
HTTP-CONNECT-Tunneling-Methode verwendet wird. Dies ermöglicht einem
entfernten Angreifer durch einen Man-in-the-Middle-Angriff beliebige Befehle
mit den Rechten von Stunnel zur Ausführung zu bringen, falls Stunnel im
SSL-Client-Modus auf einem 64-Bit-System läuft.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0735/
Das Hersteller Advisory:
https://rhn.redhat.com/errata/RHSA-2013-0714.html
Schwachstelle CVE-2013-1762:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1762
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
