UPDATE: DFN-CERT-2013-1766 PolarSSL: Eine Schwachstelle ermöglicht das Ausspähen von Informationen [Linux][Fedora][Unix]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (15.10.2013):
Die Schwachstelle wurde in Fedora 18 und 19 behoben.
Version 1 (11.10.2013):
Neues Advisory

Betroffene Software:

PolarSSL <= 1.2.8 Red Hat Fedora <= 18 Red Hat Fedora <= 19 Red Hat Fedora <= 20 Betroffene Plattformen: Fedora Linux UNIX Eine Schwachstelle in PolarSSL ermöglicht es einem entfernten, nicht authentifizierten Angreifer Informationen über den verwendeten privaten Key zu erlangen. Update: Die Schwachstelle wurde in Fedora 18 und 19 behoben. Patch: Fedora Update Notification FEDORA-2013-18216 https://admin.fedoraproject.org/updates/FEDORA-2013-18216/polarssl-1.2.9-1.fc20

Patch:

Fedora Update Notification FEDORA-2013-18228

https://admin.fedoraproject.org/updates/FEDORA-2013-18228/polarssl-1.2.9-1.fc19

Patch:

Fedora Update Notification FEDORA-2013-18251

https://admin.fedoraproject.org/updates/FEDORA-2013-18251/polarssl-1.2.9-1.fc18

CVE-2013-5915: Schwachstelle in PolarSSL

Die RSA-CRT-Implementierung in PolarSSL führt eine Montgomery-Multiplikation
nicht fehlerfrei durch. Dies ermöglicht einem entfernten Angreifer durch das
Messen von Antwortzeiten den privaten RSA-Schlüssel zu ermitteln.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1766/

Schwachstelle CVE-2013-5915 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5915

Fedora Update Notification FEDORA-2013-18216:
https://admin.fedoraproject.org/updates/FEDORA-2013-18216/polarssl-1.2.9-1.fc20

Fedora Update Notification FEDORA-2013-18228:
https://admin.fedoraproject.org/updates/FEDORA-2013-18228/polarssl-1.2.9-1.fc19

Fedora Update Notification FEDORA-2013-18251:
https://admin.fedoraproject.org/updates/FEDORA-2013-18251/polarssl-1.2.9-1.fc18