Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

cURL <= 7.41.0 libcurl >= 7.10.6
libcurl <= 7.41.0 Betroffene Plattformen: Red Hat Fedora 21 Red Hat Fedora 22 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in cURL ermöglichen einem entfernten, nicht authentifizierten Angreifer Sicherheitsvorkehrungen zu umgehen oder Denial-of-Service-Angriffe durchzuführen. Für Fedora 21, 22 und EPEL 7 stehen Sicherheitsupdates im Status 'testing' in den Versionen mingw-curl-7.42.0-1.fc21, mingw-curl-7.42.0-1.fc22 und mingw-curl-7.42.0-1.el7 bereit. Patch: Fedora Security Update FEDORA-2015-6853 https://admin.fedoraproject.org/updates/FEDORA-2015-6853/mingw-curl-7.42.0-1.fc21

Patch:

Fedora Security Update FEDORA-2015-6864

https://admin.fedoraproject.org/updates/FEDORA-2015-6864/mingw-curl-7.42.0-1.fc22

Patch:

Fedora Security Update FEDORA-EPEL-2015-5971

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-5971/mingw-curl-7.42.0-1.el7

CVE-2015-3148: Schwachstelle in cURL ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in libcurl basiert auf der Wiederverwendung von bereits
zusammen mit NTLM authentifizierten “Negotiate”-Verbindungen, die aber nicht
als solche im Verbindungs-Pool markiert werden, so dass HTTP-Anfragen eines
Benutzers trotz Angabe seiner Zugangsdaten mit der Authentifizierung eines
anderen Benutzers ausgeführt werden. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle ausnutzen, um Sicherheitsvorkehrungen zu
umgehen.

CVE-2015-3145: Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff

Eine Schwachstelle in der internen Funktion sanitize_cookie_path() von
libcurl überprüft die Eingaben des “path”-Element aus Cookies nicht korrekt,
so dass das Parsen eines einzelnen Anführungszeichens (“) zu einem
Schreibzugriff in einem ungültigen Speicherbereich des Heap führt. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um die auf libcurl basierende Anwendung abstürzen zu lassen
(Denial-of-Service).

CVE-2015-3144: Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff

Eine Schwachstelle in der internen Funktion fix_hostname() von libcurl
versucht aus einem ungültigen Speicherbereich zu lesen, wenn URLs mit einem
Hostnamen der Länge Null (z.B. “http://:80”) verwendet werden. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um die auf libcurl basierende Anwendung abstürzen zu lassen
(Denial-of-Service).

CVE-2015-3143: Schwachstelle in cURL ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in libcurl basiert auf der Wiederverwendung von bereits
zusammen mit NTLM authentifizierten “Negotiate”-Verbindungen ohne die Angabe
von Zugangsdaten eines Benutzers, so dass HTTP-Anfragen mit der
Authentifizierung eines anderen Benutzers ausgeführt werden. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
Sicherheitsvorkehrungen zu umgehen.

CVE-2014-8150: Schwachstelle in libcurl ermöglicht das Umgehen von
Sicherheitsmaßnahmen

Eine Schwachstelle in der libcurl bis einschließlich Version 7.39 führt zu
einer fehlerhaften Behandlung von eingebetteten Zeilenende- und
Zeilenvorschub-Zeichen, wenn eine Anfrage zu einem Web-Server über einen
HTTP-Proxy versendet wird. Dadurch ist es möglich, zusätzliche Anfragen in
die übergebene URL einzufügen, welche so nicht beabsichtigt sind oder nicht
beabsichtigte Anfrage-Kopfzeilen hinzuzufügen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0607/

Schwachstelle CVE-2014-8150 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8150

Schwachstelle CVE-2015-3143 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3143

Schwachstelle CVE-2015-3144 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3144

Schwachstelle CVE-2015-3145 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3145

Schwachstelle CVE-2015-3148 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3148

Fedora Security Update FEDORA-2015-6853:
https://admin.fedoraproject.org/updates/FEDORA-2015-6853/mingw-curl-7.42.0-1.fc21

Fedora Security Update FEDORA-2015-6864:
https://admin.fedoraproject.org/updates/FEDORA-2015-6864/mingw-curl-7.42.0-1.fc22

Fedora Security Update FEDORA-EPEL-2015-5971:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-5971/mingw-curl-7.42.0-1.el7

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.