Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
NTP
Betroffene Plattformen:
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 VMware
SUSE Linux Enterprise Server 12
Mehrere Schwachstellen in NTP ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Ausspähen von Informationen, die
Durchführung von Denial-of-Service-Angriffen und das Umgehen von
Sicherheitsvorkehrungen.
Die Schwachstellen werden über Backports für SUSE Linux Enterprise Desktop
11 SP3 und 12 sowie Server 11 SP3, 11 SP3 for VMware und 12 adressiert.
Patch:
SUSE Security Update SUSE-SU-2015:0259-1
http://lists.opensuse.org/opensuse-security-announce/2015-02/msg00012.html
Patch:
SUSE Security Update SUSE-SU-2015:0274-1
http://lists.opensuse.org/opensuse-security-announce/2015-02/msg00013.html
CVE-2014-9298: Schwachstelle in NTP ermöglicht das Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle in der Verarbeitung von IPv6-Adressen führt dazu, dass
Quellen-IP-Zugriffssteuerungslisten (ACLs) die auf IPv6 ::1 basieren,
umgangen werden können, wenn die IP-Pakete gefälscht werden. Ein entfernter,
nicht authentifizierter Angreifer kann Sicherungsmaßnahmen umgehen.
CVE-2014-9297: Schwachstelle in ntp_crypto ermöglicht Ausspähen von
Informationen
Eine Schwachstelle in der Datei ntp_crypto.c führt dazu, dass die
Längenangaben in Erweiterungsfeldern nicht korrekt überprüft werden. Ein
entfernter, nicht authentifizierter Angreifer kann Informationen ausspähen
oder einen Denial-of-Service-Angriff durchführen.
CVE-2014-9294: Schwachstelle in NTP erlaubt Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in util/ntp-keygen.c in “ntp-keygen” in NTP bevor
4.2.7p230 besteht darin, dass eine schwache RNG-Saat (“seed”) verwendet
wird. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um leichter kryptographische Sicherheitsmechanismen
in einem Brute-Force-Angriff zu überwinden.
CVE-2014-9293: Schwachstelle in NTP erlaubt Umgehen von
Sicherheitsvorkehrungen
Die Funktion “config_auth” in “ntpd” (NTP-Daemon) in NTP bevor 4.2.7p11,
erzeugt unsachgemäß einen Schlüssel, falls ein Authentisierungsschlüssel
nicht konfiguriert ist. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um leichter kryptographische
Sicherheitsmechanismen in einem Brute-Force-Angriff zu überwinden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0185/
Schwachstelle CVE-2014-9293 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9293
Schwachstelle CVE-2014-9294 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9294
Schwachstelle CVE-2014-9297 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9297
Schwachstelle CVE-2014-9298 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9298
SUSE Security Update SUSE-SU-2015:0259-1:
http://lists.opensuse.org/opensuse-security-announce/2015-02/msg00012.html
SUSE Security Update SUSE-SU-2015:0274-1:
http://lists.opensuse.org/opensuse-security-announce/2015-02/msg00013.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
