DFN-CERT-2014-0363 Linux Kernel, Red Hat Fedora: Mehrere Schwachstellen ermöglichen Ausführung beliebiger Befehle [Linux][Fedora]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Linux Kernel <= 3.13.6 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um beliebige Befehle mit Kernel-Rechten zur Ausführung zu bringen. Patch: Fedora Update FEDORA-2014-4360 https://admin.fedoraproject.org/updates/FEDORA-2014-4360/kernel-3.13.7-100.fc19

Patch:

Fedora Update FEDORA-2014-4317

https://admin.fedoraproject.org/updates/FEDORA-2014-4317/kernel-3.13.7-200.fc20

CVE-2014-2523: Schwachstelle im Netfilter des Linux Kernels ermöglicht
Ausführung von beliebigen Befehlen

In der Datei ‘net/netfilter/nf_conntrack_proto_dccp.c’ im Linux Kernel wird
ein DCCP Header Pointer fehlerhaft verwendet. Dies ermöglicht einem
entfernten Angreifer durch das Senden eines DCCP Paketes, welches einen
Aufruf der Funktion dccp_new(), dccp_packet() oder dccp_error() zur Folge
hat, das System zum Absturz zu bringen oder beliebige Befehle mit
Kernel-Rechten zur Ausführung zu bringen.

CVE-2014-2309: Schwachstelle in IPv6-Implementierung des Linux Kernels
ermöglicht DoS

Im Linux Kernel wird in der Funktion ip6_route_add function() in der Datei
‘net/ipv6/route.c’ hinzukommende Routen nicht fehlerfrei addiert. Dies
ermöglicht einem entfernten Angreifer durch das Senden zahlreicher ICMPv6
Router Advertisement Pakete, einen sehr hohen Speicherverbrauch zu
generieren und somit einen Denial-of-Service Zustand herbeizuführen.

CVE-2014-0131: Use-After-Free Schwachstelle im Linux Kernel

Der Linux Kernel enthält in der Funktion skb_segment() in der Datei
‘net/core/skbuff.c’ eine Use-After-Free Schwachstelle. Dies ermöglicht einem
entfernten, nicht authentifizierten Angreifer vertrauliche Informationen aus
dem Kernel-Speicher zu lesen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0363/

Schwachstelle CVE-2014-2309 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2309

Schwachstelle CVE-2014-0131 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0131

Schwachstelle CVE-2014-2523 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2523

Fedora Update FEDORA-2014-4360:
https://admin.fedoraproject.org/updates/FEDORA-2014-4360/kernel-3.13.7-100.fc19

Fedora Update FEDORA-2014-4317:
https://admin.fedoraproject.org/updates/FEDORA-2014-4317/kernel-3.13.7-200.fc20