Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
libcurl <= 7.37.0 Betroffene Plattformen: SUSE Software Development Kit 12 Enterprise SUSE Linux Enterprise Desktop 12 SUSE Linux Enterprise Server 12 Durch Ausnutzen dieser Schwachstellen kann ein entfernter, nicht authentisierter Angreifer sensible Daten ausspähen, die ihm darüber hinaus einen Denial-of-Service (DoS)-Angriff ermöglichen, sowie Sicherheitsmaßnahmen umgehen. Für SUSE Linux Enterprise Software Development Kit 12, Server 12 sowie Desktop 12 werden Sicherheitsupdates in Form von neuen Paketen von libcurl 7.37.0 bereitgestellt, um diese Schwachstellen zu beheben. Patch: SUSE Security Update SUSE-SU-2015:0083-1 https://www.suse.com/support/update/announcement/2015/suse-su-20150083-1.html
CVE-2014-8150: Schwachstelle in libcurl ermöglicht das Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle in der libcurl bis einschließlich Version 7.39 führt zu
einer fehlerhaften Behandlung von eingebetteten Zeilenende- und
Zeilenvorschub-Zeichen, wenn eine Anfrage zu einem Web-Server über einen
HTTP-Proxy versendet wird. Dadurch ist es möglich zusätzliche Anfragen in
die übergebene URL einzufügen, welche so nicht beabsichtigt sind oder nicht
beabsichtigte Anfrage-Kopfzeilen hinzuzufügen.
CVE-2014-3707: Schwachstelle in cURL erlaubt Ausspähen von Informationen
Eine Schwachstelle in cURL besteht darin, dass die Funktion
“curl_easy_duphandle()” in libcurl bei einem HTTP-POST-Transfer unter
bestimmten Umständen sensible Daten zurücksendet. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, mittels eines
HTTP-POST-Requests, um sensible Daten aus solchen Speicherbereichen
auszulesen, auf die er keinen Zugriff haben sollte, oder auch Daten auf
diesem Wege in einen HTTP-POST-Request einzuschleusen, wodurch weitere
Angriffe möglich werden, z. B. das Herbeiführen eines partiellen
Denial-of-Service (DoS)-Zustandes.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0098/
Schwachstelle CVE-2014-3707 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3707
Schwachstelle CVE-2014-8150 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8150
SUSE Security Update SUSE-SU-2015:0083-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20150083-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
