Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Linux Kernel < 3.17.7 Betroffene Plattformen: Red Hat Fedora 20 Red Hat Fedora 21 Durch Ausnutzen dieser Schwachstellen kann ein lokaler, bzw. im benachbarten Netzwerk befindlicher Benutzer, als Angreifer, Sicherheitsvorkehrungen umgehen, Informationen ausspähen oder einen Denial-of-Service (DoS)-Angriff durchführen. Für Fedora 20 und 21 werden Sicherheitsupdates auf die stabile Version Linux-Kernel 3.17.7 bereitgestellt. Patch: Fedora Security Update FEDORA-2014-17283 https://admin.fedoraproject.org/updates/FEDORA-2014-17283/kernel-3.17.7-200.fc20

Patch:

Fedora Security Update FEDORA-2014-17293

https://admin.fedoraproject.org/updates/FEDORA-2014-17293/kernel-3.17.7-300.fc21

CVE-2014-8559: Schwachstelle im Linux-Kernel erlaubt Denial-of-Service

Die Funktion “d_walk” in fs/dcache.c im Linux-Kernel bis einschließlich
Version 3.17.2 erhält nicht korrekt die Semantik von “rename_lock”. Ein
lokaler, authentifizierter Benutzer, als Angreifer kann diese Schwachstelle
ausnutzen, mittels einer präparierten Anwendung, um einen Denial-of-Service
(DoS)-Zustand (“deadlock” und “system hang”) herbeizuführen.

CVE-2014-8133: Schwachstelle im Linux-Kernel erlaubt Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle besteht in arch/x86/kernel/tls.c in der Thread Local
Storage (TLS)-Implementierung des Linux-Kernels bis einschließlich Version
3.18.1. Ein lokaler, authentifizierter Benutzer, als Angreifer, kann die
Schwachstelle ausnutzen, mittels einer präparierten Anwendung, welche einen
“set_thread_area”-Systemaufruf durchführt und später einen 16-Bit-Wert
ausliest, um den “espfix”-Schutzmechanismus und dadurch leichter den
ASLR-Schutzmechanismus zu umgehen.

CVE-2014-8134: Schwachstelle im Linux-Kernel ermöglicht das Ausspähen von
Informationen

Eine Schwachstelle im Linux-Kernel kann auf 32-bit Kernel Virtual
Maschinen(KVM) dazu führen, dass ein ‘Paravirt’-Gast die höchsten 16 Bits
der Kernel Stack Adresse ausspähen kann. Ein Gast-Benutzer im benachbarten
Netzwerk, als Angreifer, kann die ausgespähten Informationen nutzen, um
weitere Angriffe gegen den Kernel durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1706/

Schwachstelle CVE-2014-8559 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8559

Schwachstelle CVE-2014-8134 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8134

Schwachstelle CVE-2014-8133 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8133

Fedora Security Update FEDORA-2014-17283:
https://admin.fedoraproject.org/updates/FEDORA-2014-17283/kernel-3.17.7-200.fc20

Fedora Security Update FEDORA-2014-17293:
https://admin.fedoraproject.org/updates/FEDORA-2014-17293/kernel-3.17.7-300.fc21

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.