UPDATE: DFN-CERT-2014-0326 Squid: Eine Schwachstelle ermöglicht Denial-of-Service-Angriffe [Linux][Fedora][RedHat][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 5 (04.06.2014):
Red Hat stellt für Red Hat Enterprise Linux Server v. 6, Server AUS v.6.5,
Server EUS v.6.5.z und Workstation v.6 aktualisierte squid Pakete zur
Behebung der Schwachstelle zur Verfügung.
Version 4 (28.04.2014):
Für SUSE Linux Enterprise Server 11 SP3 und 11 SP3 für VMware stehen nun
Updates bereit.
Version 3 (23.04.2014):
Für OpenSUSE 12.3 und 13.1 stehen nun Updates bereit.
Version 2 (07.04.2014):
Fedora gibt Sicherheitsupdate für die Version 19 heraus.
Version 1 (17.03.2014):
Neues Advisory

Betroffene Software:

Squid >= 3.1
Squid <= 3.3.11 Squid <= 3.4.3 Betroffene Plattformen: openSUSE 12.3 openSUSE 13.1 SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 VMware Red Hat Enterprise Linux 6 Server Red Hat Enterprise Linux 6 Workstation Red Hat Enterprise Linux Server 6.5 AUS Red Hat Enterprise Linux Server 6.5.z EUS Red Hat Fedora 19 Red Hat Fedora 20 Eine Schwachstelle in Squid ermöglicht einem entfernten, nicht authentifizierten Angreifer, das Programm zum Absturz zu bringen (Denial-of-Service). Patch: Fedora Update FEDORA-2014-3915 https://admin.fedoraproject.org/updates/FEDORA-2014-3915/squid-3.3.12-1.fc20

Patch:

Fedora Update FEDORA-2014-4800

https://admin.fedoraproject.org/updates/FEDORA-2014-4800/squid-3.3.12-1.fc19

Patch:

openSUSE Security Update openSUSE-SU-2014:0559-1

http://lists.opensuse.org/opensuse-updates/2014-04/msg00060.html

Patch:

SuSE Hersteller-Advisory

https://www.suse.com/support/update/announcement/2014/suse-su-20140569-1.html

Patch:

Red Hat Security Advisory RHSA-2014:0597

http://rhn.redhat.com/errata/RHSA-2014-0597.html

CVE-2014-0128: Schwachstelle in Squid ermöglicht Denial-of-Service

Innerhalb der “SSL-Bump”-Funktion von Squid besteht eine Schwachstelle. Ist
diese Funktion aktiviert, kann ein entfernter nicht authentifizierter
Angreifer, durch gezielte Anfragen, Squid zum Absturz bringen und somit
einen Denial-of-Service-Zustand verursachen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0326/

Schwachstelle CVE-2014-0128 (Red Hat):
https://access.redhat.com/security/cve/CVE-2014-0128

Schwachstelle CVE-2014-0128 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0128

Fedora Update FEDORA-2014-3915:
https://admin.fedoraproject.org/updates/FEDORA-2014-3915/squid-3.3.12-1.fc20

Fedora Update FEDORA-2014-4800:
https://admin.fedoraproject.org/updates/FEDORA-2014-4800/squid-3.3.12-1.fc19

openSUSE Security Update openSUSE-SU-2014:0559-1:
http://lists.opensuse.org/opensuse-updates/2014-04/msg00060.html

SuSE Hersteller-Advisory:
https://www.suse.com/support/update/announcement/2014/suse-su-20140569-1.html

Red Hat Security Advisory RHSA-2014:0597:
http://rhn.redhat.com/errata/RHSA-2014-0597.html