Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

PHP

Betroffene Plattformen:

openSUSE 13.1
openSUSE 13.2

Mehrere Schwachstellen in PHP ermöglichen einem entfernten, nicht
authentifizierten Angreifer, Denial-of-Service-Angriffe durchzuführen oder
beliebigen Programmcode zur Ausführung zu bringen.

Das openSUSE-Advisory beinhaltet zusätzlich die Schwachstelle CVE-2014-9426,
aber der Hersteller von PHP widerspricht dieser Einstufung. Die
Schwachstelle hat daher den Status *disputed*, d.h. es handelt sich nach
Angaben des Herstellers nicht wirklich um eine Schwachstelle und daher wird
die CVE in dieser Meldung nicht aufgeführt!

Die Schwachstellen werden für openSUSE 13.1 und openSUSE 13.2 über Backports
behoben.

Patch:

openSUSE Security Update openSUSE-SU-2015:0325-1

http://lists.opensuse.org/opensuse-updates/2015-02/msg00079.html

CVE-2015-0232: Schwachstelle in PHP Exif ermöglicht
Denial-of-Service-Angriff

In der Exif-Komponente von PHP existiert eine Schwachstelle, die durch einen
nicht initialisierten Wert verursacht wird. Bei der Verarbeitung von
Exif-Informationen wird ein unbestimmter Wert gelesen und ein
Programmabsturz verursacht. Ein entfernter, nicht authentifizierter
Angreifer kann einen Denial-of-Service-Angriff durchführen.

CVE-2015-0231: Schwachstelle in PHP ermöglicht das Ausführen von beliebigem
Programmcode

In der Funktion unserialize() von PHP existiert eine Benutzen-nach-Freigabe
(use-after-free)-Schwachstelle. Ein entfernter, nicht authentifizierter
Angreifer kann durch präparierte PHP-Werte beliebigen Programmcode
ausführen.

CVE-2014-9427: Schwachstelle in PHP CGI ermöglicht das Ausführen von
beliebigem Programmcode

In der Datei sapi/cgi/cgi_main.c innerhalb der CGI-Komponente von PHP wird
die Zuordnung der Länge einer Datei nicht richtig geprüft, sofern die Datei
mit dem Zeichen ‘#’ beginnt und keinen Zeilenumbruch enthält. Dadurch ist es
möglich Speicherinhalte außerhalb der vorgesehenen Speichergrenzen zu lesen
oder Programmcode auszuführen. Ein entfernter, nicht authentifizierter
Angreifer kann beliebigen Programmcode ausführen.

CVE-2014-8142: Schwachstelle in PHP erlaubt beliebigen Programmcode
auszuführen

Eine Use-after-free-Schwachstelle in der Funktion “process_nested_data” in
ext/standard/var_unserializer.re in PHP bevor 5.4.36, 5.5.x bevor 5.5.20 und
5.6.x bevor 5.6.4 kann mittels eines präparierten, nicht serialisierten
Aufrufs, bei dem duplizierte Schlüssel innerhalb der serialisierten
Eigenschaften eines Objektes fehlerhaft behandelt werden, ausgenutzt werden.
Es handelt sich um eine andere Schwachstelle als CVE-2004-1019.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0223/

Schwachstelle CVE-2014-8142 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8142

Schwachstelle CVE-2014-9427 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9427

Schwachstelle CVE-2015-0231 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0231

Schwachstelle CVE-2015-0232 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0232

openSUSE Security Update openSUSE-SU-2015:0325-1:
http://lists.opensuse.org/opensuse-updates/2015-02/msg00079.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.