Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Python <= 2.7 Betroffene Plattformen: Debian Linux 7.4 Wheezy Die Schwachstellen in Python erlauben einem entfernten, nicht authentifizierten Angreifer durch Man-in-the-Middle-Angriffe gegebenenfalls vertrauliche Daten auszuspähen oder beliebigen Programmcode zur Ausführung zu bringen. Patch: Debian Security Advisory DSA-2880-1 http://www.debian.org/security/2014/dsa-2880

CVE-2014-1912: Schwachstelle in Python

In der Funktion socket.recvfrom_into() in Modules/socketmodule.c in Python
2.5 vor 2.7.7, 3.x vor 3.3.4 und 3.4.x vor 3.4rc1 kann es zu einem
Pufferüberlauf kommen. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um beliebigen Code auszuführen.

CVE-2013-4238: Fehler bei der Verarbeitung von NULL-Zeichen in Zertifikaten

Die Funktion ssl.match_hostname im SSL-Modul von Python verarbeitet
NULL-Zeichen im Domain Namen im Feld Subject Alternative Name eines
Zertifikats nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle dazu ausnutzen, ein Zertifikat mit NULL-Zeichen zu
konstruieren und damit vorzugeben, dass sein Zertifikat zu einer anderen
Einrichtung gehört. Damit der Angriff gelingt, muss das für den Angriff
verwendete Zertifikat von einer vertrauenswürdigen CA signiert sein. Danach
kann der Angreifer Man-in-the-Middle-Angriffe durchführen und so u.a. an
vertrauliche Daten der Benutzer gelangen.

CVE-2013-4238: Fehler bei der Verarbeitung von NULL-Zeichen in Zertifikaten

Die Funktion ssl.match_hostname im SSL-Modul von Python verarbeitet
NULL-Zeichen im Domain Namen im Feld Subject Alternative Name eines
Zertifikats nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle dazu ausnutzen, ein Zertifikat mit NULL-Zeichen zu
konstruieren und damit vorzugeben, dass sein Zertifikat zu einer anderen
Einrichtung gehört. Damit der Angriff gelingt, muss das für den Angriff
verwendete Zertifikat von einer vertrauenswürdigen CA signiert sein. Danach
kann der Angreifer Man-in-the-Middle-Angriffe durchführen und so u.a. an
vertrauliche Daten der Benutzer gelangen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0329/

Schwachstelle CVE-2013-4238 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4238

Schwachstelle CVE-2014-1912 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1912

Debian Security Advisory DSA-2880-1:
http://www.debian.org/security/2014/dsa-2880

(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.