DFN-CERT-2013-1020 Schwachstellen in Mesa [Linux][RedHat]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket mesa

Betroffene Plattformen:

Red Hat Enterprise Linux Desktop (v. 6) – i386, x86_64
Red Hat Enterprise Linux Desktop Optional (v. 6) – i386, x86_64
Red Hat Enterprise Linux HPC Node (v. 6) – x86_64
Red Hat Enterprise Linux HPC Node Optional (v. 6) – x86_64
Red Hat Enterprise Linux Server (v. 6) – i386, ppc64, s390x, x86_64
Red Hat Enterprise Linux Server Optional (v. 6) – i386, ppc64, s390x,
x86_64
Red Hat Enterprise Linux Workstation (v. 6) – i386, x86_64
Red Hat Enterprise Linux Workstation Optional (v. 6) – i386, x86_64

Schwachstellen in Mesa ermöglichen einem entfernten Angreifer
schlimmstenfalls beliebige Befehle zur Ausführung zu bringen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

https://rhn.redhat.com

CVE-2013-1872: Schwachstelle in Mesa

In Mesa kann es zu einem Speicherzugriff außerhalb der Feldgrenzen kommen.
Dies führt zu einer Korruption des Speichers. Ein entfernter Angreifer kann
dadurch eine Anwendung, die Mesa verwendet, zum Absturz bringen oder
schlimmstenfalls beliebige Befehle zur Ausführung zu bringen.

CVE-2013-1993: Schwachstelle in Mesa

In libGLX in Mesa Version 9.1.1 und früher existieren mehrere
Integer-Overflow-Schwachstellen. Betroffen sind die Funktionen
XF86DRIOpenConnection() und XF86DRIGetClientDriverName(). Einem entfernten
Angreifer ist es dadurch schlimmstenfalls möglich, seine Rechte zu erweitern
oder einen Denial-of-Service-Angriff gegen den X.Org X-Server durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1020/

Das Hersteller Advisory:
https://rhn.redhat.com/errata/RHSA-2013-0897.html

Schwachstelle CVE-2013-1993:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1993

Schwachstelle CVE-2013-1872:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1872