Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Perl-Compatible-Regular-Expression (PCRE) Bibliothek

Betroffene Plattformen:

openSUSE 13.1
openSUSE 13.2

Mehrere Schwachstellen in PCRE ermöglichen lokalen und entfernten, nicht
authentifizierten Angreifern, Informationen auszuspähen und beliebigen
Programmcode mit Benutzerrechten auszuführen.

Für openSUSE 13.1 und 13.2 werden Sicherheitsupdates bereitgestellt, um
diese Schwachstellen zu beheben.

Patch:

openSUSE Security Update openSUSE-SU-2015:0858-1

http://lists.opensuse.org/opensuse-updates/2015-05/msg00014.html

CVE-2015-2326: Heap-Pufferüberlauf-Schwachstelle ermöglicht das Ausführen
beliebigen Programmcodes mit den Rechten des Benutzers

Aufgrund unzureichender Überprüfung der Einhaltung von Speichergrenzen kann
es in der Funktion pcre_compile2() zu einem Speicherüberlauf auf dem Heap
kommen. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle mittels speziell präparierten regulären Ausdrücken ausnutzen,
um beliebigen Programmcode mit den Rechten des Benutzers, der auf
PCRE-basierende Anwendungen nutzt, auszuführen.

CVE-2015-2325: Heap-Pufferüberlauf-Schwachstelle ermöglicht das Ausführen
beliebigen Programmcodes mit den Rechten des Benutzers

Aufgrund unzureichender Überprüfung der Einhaltung von Speichergrenzen kann
es in der Funktion compile_branch() zu einem Speicherüberlauf auf dem Heap
kommen. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle mittels speziell präparierten regulären Ausdrücken ausnutzen,
um beliebigen Programmcode mit den Rechten des Benutzers, der auf
PCRE-basierende Anwendungen nutzt, auszuführen.

CVE-2014-8964: Heap-Pufferüberlauf-Schwachstelle ermöglicht das Ausspähen
von Informationen

Eine Heap-basierte Pufferüberlauf-Schwachstelle in PCRE bei der Verarbeitung
von regulären Ausdrücken ermöglicht einem lokalen, nicht authentisierten
Angreifer die Vertraulichkeit zu beeinträchtigen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0679/

Schwachstelle CVE-2014-8964 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8964

openSUSE Security Update openSUSE-SU-2015:0858-1:
http://lists.opensuse.org/opensuse-updates/2015-05/msg00014.html

Schwachstelle CVE-2015-2325 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2325

Schwachstelle CVE-2015-2326 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2326

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.