Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Ruby <= 1.9.3 Betroffene Plattformen: openSUSE 12.3 openSUSE 13.1 Zwei Schwachstellen ermöglichen einem entfernten, nicht authentisierten Angreifer einen Denial-of-Service (DoS)-Zustand herbeizuführen. Für openSUSE 13.1 und 12.3 werden aktualisierte Pakete von Ruby 1.9.3 zur Verfügung gestellt, um diese Schwachstellen zu beheben. Patch: openSUSE Security Update openSUSE-SU-2014:1589-1 http://lists.opensuse.org/opensuse-updates/2014-12/msg00035.html

CVE-2014-8090: Schwachstelle in Ruby ermöglicht Denial-of-Service-Angriff

Als Fehlerbehebung für die Schwachstelle CVE-2014-8080 (“Billion Laughs”) im
Ruby REXML XML Parser wurde eine Überprüfung für
REXML.entity_expansion_text_limit eingeführt, um Denial-of-Service-Angriffe
durch extremen CPU- und Speicherverbrauch durch Expansion von Parametern in
kleinen XML-Dokumenten zu verhindern. Es hat sich herausgestellt, dass diese
Fehlerbehebung nicht ausreichend war, da die Anzahl der ausgeführten
Expansionen nicht gegen REXML::Document.entity_expansion_limit. geprüft
wurde. Die unbeschränkte rekursive Expansion kann daher weiterhin dazu
führen, dass der gesamte Speicher des Systems aufgebraucht wird. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen.

CVE-2014-8080: Schwachstelle in Ruby erlaubt REXML-Billion-Laughs-Angriffe
(DoS)

Eine Schwachstelle in Ruby besteht im Module REXML. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, indem er ein
XML-Dokument konstruiert, welches den REXML-Parser dazu bringt, sehr viel
Speicher zu verbrauchen, hier mittels XML-Entitätenexpansion, um
REXML-Billion-Laughs-Angriffe durchzuführen, d.h. einen Denial-of-Service
(DoS)-Zustand herbeizuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1613/

Schwachstelle CVE-2014-8080 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8080

Schwachstelle CVE-2014-8090 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8090

openSUSE Security Update openSUSE-SU-2014:1589-1:
http://lists.opensuse.org/opensuse-updates/2014-12/msg00035.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.