Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

OpenSSL Project OpenSSL <= 0.9.8ZB OpenSSL Project OpenSSL <= 1.0.0N OpenSSL Project OpenSSL <= 1.0.1I Betroffene Plattformen: Juniper Junos Space GNU/Linux Juniper JUNOS Juniper NetScreen ScreenOS Mehrere Schwachstellen in OpenSSL ermöglichen einem entfernten, nicht authentifizierten Angreifer, Informationen auszuspähen oder Denial-of-Service-Angriffe durchzuführen. Von der Schwachstelle CVE-2014-3513 sind nur die OpenSSL Versionen 1.0.1 bis 1.0.1i betroffen. Patch: Juniper Networks Security Advisory JSA10656 http://kb.juniper.net/index?page=content&id=JSA10656&actp=RSS

Patch:

OpenSSL Hersteller Advisory OpenSSL-secadv_20141015

https://www.openssl.org/news/secadv_20141015.txt

CVE-2014-3568: Schwachstelle in der Auswertung von Kompilationsvorgaben in
OpenSSL

Auch wenn OpenSSL mit der Option “no-ssl3” kompiliert wird, ist es Servern
trotzdem möglich, SSL 3.0 Verhandlungen zu akzeptieren und zum Abschluss zu
bringen und Clients ist es möglich, solche Verhandlungen anzustoßen. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, wenn die Benutzer der Software ausschließlich auf die
Kompilationsoption vertrauen und SSL 3.0 nicht explizit für Verhandlungen in
der Konfiguration verbieten, da das Protokoll als unsicher gilt.

CVE-2014-3567: Schwachstelle in der Speicherverwaltung von OpenSSL
ermöglicht DoS-Angriffe

Ein mit OpenSSL geschützter Server gibt Speicher nicht wieder frei, wenn die
Integritätsprüfung eines empfangenen Sitzungstickets fehlschlägt. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen, indem er eine
große Anzahl von ungültigen Sitzungstickets an den Server sendet.

CVE-2014-3513: Schwachstelle in der DTLS SRTP Erweiterung von OpenSSL
ermöglicht DoS-Angriffe

Eine Schwachstelle in der DTLS SRTP Erweiterung von OpenSSL beruht darauf,
dass bei dem Empfang bestimmter Handshake-Nachrichten bis zu 64Kb Speicher
nicht freigegeben werden. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um mittels speziell präparierter
Nachrichten einen Denial-of-Service-Zustand herbeizuführen. Betroffen sind
alle angegebenen OpenSSL-Versionen, die nicht mit OPENSSL_NO_SRTP kompiliert
wurden. Die Schwachstelle kann unabhängig davon, ob SRTP benutzt wird oder
konfiguriert ist, ausgenutzt werden.

CVE-2014-3566: POODLE: SSL 3.0 Protokoll, wie z.B. in OpenSSL verwendet,
ermöglicht das Ausspähen von Informationen

Das SSL 3.0 Protokoll, so wie es u.a. von OpenSSL bis Version 1.0.1i
implementiert wird, benutzt nicht deterministisches “Padding”. Padding ist
das Auffüllen der Nachricht mit Bytes bis zur nächsten vollen Blockgrenze
für Kryptoalgorithmen im CBC-Modus (Cipher-Block-Chaining). Dieses Padding
wird nicht durch den MAC (Message Authentication Code), d.h. eine
kryptografische Prüfsumme, überprüft. Der Empfänger von verschlüsselten
Nachrichten kann also die Integrität des Paddings nicht vollständig
überprüfen. Diese Schwäche des SSL 3.0 Protokolls kann von einem entfernten,
nicht authentifizierten Angreifer in einem Man-in-the-middle-Angriff
ausgenutzt werden, um Teile der Nachricht im Klartext zu erhalten, indem er
das Padding entsprechend modifiziert (Padding-Oracle-Angriff). Diese
Protokollschwäche wurde von seinen Entdeckern “POODLE” getauft.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1366/

Juniper Networks Security Advisory JSA10656:
http://kb.juniper.net/index?page=content&id=JSA10656&actp=RSS

OpenSSL Hersteller Advisory OpenSSL-secadv_20141015:
https://www.openssl.org/news/secadv_20141015.txt

Schwachstelle CVE-2014-3513 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3513

Schwachstelle CVE-2014-3566 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3566

Schwachstelle CVE-2014-3567 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3567

Schwachstelle CVE-2014-3568 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3568

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.