DFN-CERT-2014-0482 OpenSSL: Schwachstellen ermöglichen das Ausspähen von Daten und Darstellen falscher Informationen [Linux][Debian]

- 23. April 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

OpenSSL Project OpenSSL <= 1.0.1G Betroffene Plattformen: Debian Linux 7.0 Wheezy Durch zwei Schwachstellen in OpenSSL ist es einem entfernten, nicht authentifizierten Angreifer möglich Informationen auszuspähen, falsche Informationen darzustellen oder einen Denial-of-Service-Zustand zu verursachen. Patch: Debian Security Advisory DSA-2908 http://www.debian.org/security/2014/dsa-2908

CVE-2010-5298: Schwachstelle in OpenSSL

Es besteht eine Race-Condition in der “ssl3_read_bytes” Funktion in der
“s3_pkt.c”. Diese besteht nur wenn “SSL_MODE_RELEASE_BUFFERS” aktiviert ist.
Ein entfernter, nicht authentifizierter Angreifer kann Daten durch eine
Session injizierten oder einen Denial-of-Service-Zustand (Use-After-Free und
Parsing-Error) durch eine SSL-Verbindung in einer Multithread-Umgebung
verursachen.

CVE-2014-0076: Schwachstelle in OpenSSL

Innerhalb der “Montgomery ladder”-Implementierung von openssl ist ein
konstantes Zeitverhalten der Swap-Operationen nicht garantiert. Ein
entfernter, nicht authentifizierter Angreifer kann mittels eines sogenannten
“Flush + Reload” Cache Side-Channel-Angriff ECDSA Nonce-Werte
wiederherstellen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0482/

Schwachstelle CVE-2014-0076 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0076

Schwachstelle CVE-2010-5298 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-5298

Debian Security Advisory DSA-2908:
http://www.debian.org/security/2014/dsa-2908