Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
F5 Networks BIG-IP Protocol Security Module (PSM) 10.1.0
Betroffene Plattformen:
F5 Networks BIG-IP Protocol Security Module (PSM)
Durch Ausnutzen dieser Schwachstellen kann ein entfernter, nicht
authentifizierter Angreifer Denial-of-Service (DoS)-Angriffe durchführen und
in einem Fall eventuell auch beliebigen Programmcode zur Ausführung bringen.
F5 Networks teilt mit, welche Versionen verwundbar sind. Von BIG-IP PSM ist
lediglich die Version 10.1.0 verwundbar. Ein Update auf Version 11.0.0 –
11.4.1 oder 10.2.0 – 10.2.4 wird empfohlen.
Patch:
F5 Networks Security Advisory sol15905
http://support.f5.com/kb/en-us/solutions/public/15000/900/sol15905.html?ref=rss
CVE-2009-3560: Schwachstelle in Expat erlaubt Denial-of-Service-Angriffe
Bestimmte Sequenzen von Multibyte Zeichen in UTF-8 Kodierung können dazu
führen, dass die Funktion big2_toUtf8() aus der Bibliothek libexpat über das
Ende der Zeichenkette hinaus liest, was zum Absturz des Programms führt. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle für
einen Denial-of-Service-Angriff gegen Anwendungen ausnutzen, die diese
Bibliothek verwenden.
CVE-2009-3720: Schwachstelle in Expat ermöglicht Denial-of-Service
Bestimmte Sequenzen von Multibyte Zeichen in UTF-8 Kodierung können dazu
führen, dass die Funktion updatePosition() aus der Bibliothek libexpat über
das Ende der Zeichenkette hinaus liest, was zum Absturz des Programms führt.
Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
für einen Denial-of-Service-Angriff gegen Anwendungen ausnutzen, die diese
Bibliothek verwenden.
CVE-2009-2625, Sun Bug ID 6845701: Schwachstelle in XML-Parsern ermöglicht
Ausführen beliebigen Programmcodes
Als Teil eines Code-Audits sind Schwachstellen in XML-Parsern gefunden
worden, die im Zusammenhang mit Byte-Werten oder Verschachtelungen stehen.
Bei Ausnutzung der Schwachstellen kommt es zu Endlosschleifen bzw.
-rekursionen oder zu Zugriffen auf Speicherbereiche außerhalb deklarierter
Datenstrukturen. Als Folge davon stürzt die XML-Parserroutine ab oder läuft
endlos weiter (Denial-of-Service). Evtl. kann es einem entfernter, nicht
authentifizierten Angreifer auch möglich sein, beliebigen Code mit den
Rechten des Benutzers auszuführen, wenn dieser ein entsprechend aufgebautes
XML-Dokument öffnet. Die Schwachstelle betrifft u.a. Sun Java, Apache
Xerces, Expat, Python, Audacity sowie die Bibliothek libxml bzw. libxml2.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1655/
F5 Networks Security Advisory sol15905:
http://support.f5.com/kb/en-us/solutions/public/15000/900/sol15905.html?ref=rss
Schwachstelle CVE-2009-2625 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-2625
Schwachstelle CVE-2009-3560 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-3560
Schwachstelle CVE-2009-3720 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-3720
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
