Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.1.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4 F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1 Betroffene Plattformen: F5 Networks BIG-IP Protocol Security Module (PSM) Eine Schwachstelle in OpenSSL, welches von BIG-IP PSM und anderen BIG-IP Produkten genutzt wird, ermöglicht einem entfernten, nicht authentifizierten Angreifer einen Denial-of-Service-Angriff durchzuführen. Betroffen sind alle unterstützten Versionen von BIG-IP PSM (10.1.0 - 10.2.4 und 11.0.0 - 11.4.1). F5 Networks stellt für BIG-IP PSM derzeit noch keinen Patch zur Verfügung, für einzelne andere Produkte existieren nicht verwundbare Versionen. CVE-2015-0209: Use-after-free-Schwachstelle erlaubt Denial-of-Service-Angriff Eine Schwachstelle in der Funktion "d2i_ECPrivateKey" führt bei der Verarbeitung eines schädlich geformten privaten Eliptic Curve (EC)-Schlüssels zu einem Use-after-free-Zustand, wodurch im Gegenzug eine doppelte Speicherfreigabe ("double free") in mehreren, den privaten Schlüssel parsenden Funktionen verursacht werden kann. Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle ausnutzen, mittels EC-Schlüsseln aus nicht vertrauenswürdigen Quellen, um Denial-of-Service (DoS)-Zustände oder eine Speicherkorruption für Anwendungen herbeizuführen. Referenzen: Dieses Advisory finden Sie auch im DFN-CERT Portal unter: https://portal.cert.dfn.de/adv/DFN-CERT-2015-0441/

Schwachstelle CVE-2015-0209 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0209

F5 Networks Security Advisory sol16323:
http://support.f5.com/kb/en-us/solutions/public/16000/300/sol16323.html?ref=rss

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.