DFN-CERT-2014-0449 NET-SNMP: Mehrere Schwachstellen ermöglichen einen Denial-of-Service-Angriff [Linux]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Net-SNMP <= 5.7.2 Betroffene Plattformen: Canonical Ubuntu Linux 10.04 Lts Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 12.10 Canonical Ubuntu Linux 13.10 In NET-SNMP wurden mehrere Schwachstellen festgestellt, die einen Denial-of-Service-Angriff durch einen entfernten, nicht authentifizierten Angreifer ermöglichen, entweder durch das Herbeiführen eines Time-Outs des Subagenten, durch die Verarbeitung von leeren Community-Strings bei snmptrapd, durch einen Fehler in der Implementierung der ICMP-MIB oder durch einen Fehler bei der Verarbeitung von Multi-Objekt-Anfragen im AgentX. Schwachstelle CVE-2014-2310 betrifft nur Ubuntu 10.04 LTS, Ubuntu 12.04 LTS und Ubuntu 12.10, nicht dagegen Ubuntu 13.10. Patch: Ubuntu Security Notice USN-2166-1 http://www.ubuntu.com/usn/usn-2166-1/

CVE-2014-2310: DoS-Schwachstelle in Net-SNMP

Eine Schwachstelle in NET-SNMP besteht darin, dass der AgentX
Multi-Objekt-Anfragen nicht korrekt beantwortet. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle ausnutzen, um den Server
zum Hängen zu bringen, d.h. einen Denial-of-Service-Zustand herbeizuführen.
Diese Schwachstelle betrifft nur Ubuntu 10.04 LTS, Ubuntu 12.04 LTS und
Ubuntu 12.10, nicht dagegen Ubuntu 13.10.

CVE-2014-2285: DoS-Schwachstelle in Net-SNMP

Die Verarbeitung von leeren “Community-Strings” in Traps des snmptrapd ist
fehlerhaft. Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.

CVE-2014-2284: DoS-Schwachstelle in Net-SNMP

Die Implementierung der “ICMP-MIB” ist fehlerhaft. Ein entfernter, nicht
authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.

CVE-2012-6151: DoS-Schwachstelle in Net-SNMP

AgentX-Subagenten können bei der Registrierung für eine MIB und der
Bearbeitung von GETNEXT-Anfragen in einen Denial-of-Service-Zustand versetzt
werden, wenn ein Angreifer die Verbindung unterbrechen und einen Time-Out
des Subagenten erreichen kann.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0449/

Schwachstelle CVE-2012-6151 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-6151

Net-SNMP Bug Report:
http://sourceforge.net/p/net-snmp/bugs/2411/

Schwachstelle CVE-2014-2284 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2284

Schwachstelle CVE-2014-2285 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2285

Schwachstelle CVE-2014-2310 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2310

Ubuntu Security Notice USN-2166-1:
http://www.ubuntu.com/usn/usn-2166-1/