Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache Software Foundation Apache HTTP Server <= 2.2.15.22 Apache Software Foundation Tomcat <= 6.0.39.03 HP-UX Apache-Based Web Server Suite <= 4.04 PHP <= 5.4.11.04 Betroffene Plattformen: HP-UX family of operating systems B.11.31 Mehrere Schwachstellen in HP-UX B.11.31 mit HP-UX Apache Web Server Suite ermöglichen einem entfernten, nicht authentifizierten Angreifer Denial-of-Service-Angriffe durchzuführen, Sicherheitsvorkehrungen zu umgehen oder beliebigen Programmcode auszuführen. Für HP-UX B.11.31 (32-bit und 64-bit) werden Sicherheitsupdates zur Verfügung gestellt. Alternativ kann die HP-UX Web Server Suite v4.05 oder spätere Versionen manuell installiert werden. HP-UX Web Server Suite v4.05 HPUXWSATW405 beinhaltet Apache v2.2.29.01, Tomcat Servlet Engine 6.0.43.01, PHP 5.4.40.01 und Webmin v1.070.13. Patch: HP Security Bulletin HPSBUX03337 SSRT102066 https://h20564.www2.hp.com/hpsc/doc/public/display?docId=emr_na-c04686230

CVE-2015-2783: Buffer-Over-read-Schwachstelle in PHP

Eine Schwachstelle in der Funktion “unserialize” der Komponente “PHAR File
Handler” von PHP ermöglicht das Lesen über Speichergrenzen hinaus. Ein
entfernter, nicht authentifizierter Angreifer kann dadurch an vertrauliche
Informationen gelangen. Mit Hilfe einer präparierten PHAR-Datei kann der
Angreifer einen “Memory Leak” bewirken und so an vertrauliche Informationen
gelangen.

CVE-2014-9709: Denial-of-Service-Schwachstelle in GD Graphics Library libgd

Durch eine Schwachstelle in der ‘gdImageCreateFromGif’-Funktion von GD
Graphics Library libgd werden GIF-Dateien nicht korrekt bearbeitet. Mit
Hilfe der ‘GetCode_ function’ in gd_gif_in.c und einer präparierten
GIF-Datei kann ein entfernter, nicht angemeldeter Angreifer ein Lesen über
Speichergrenzen hinweg provozieren. Dieses ermöglicht ihm, einen
Denial-of-Service-Zustand herbeizuführen oder den Systemspeicher auszulesen.
libgd wird in den PHP Versionen vor 5.5.21 und vor 5.6.5 eingesetzt.

CVE-2015-2331: Schwachstelle in PHP bzw. libzip ermöglicht Denial-of-Service

Eine Schwachstelle in PHP / libzip führt zu einem Integer-Überlauf. Ein
Angreifer kann diese Schwachstelle ausnutzen, um über
Heap-Speicherbegrenzungen hinaus zu schreiben, wodurch ein Denial-of-Service
(DoS)-Zustand herbeigeführt oder möglicherweise beliebiger Programmcode zur
Ausführung gebracht werden kann.

CVE-2015-2305: Heap-Speicherüberlauf-Schwachstelle in ereg-Erweiterung /
regex-Bibliothek

Eine Schwachstelle in der Erweiterung “ereg” führt zu einem
Heap-Speicherüberlauf. Diese Schwachstelle betrifft nur 32-Bit-Systeme. Ein
entfernter, nicht authentisierter Angreifer kann die Schwachstelle
ausnutzen, um die Anwendung zum Absturz zu bringen, d. h. einen
Denial-of-Service (DoS)-Zustand herbeizuführen, oder möglicherweise
beliebigen Programmcode auszuführen. Diese Schwachstelle betrifft neben der
“ereg”-Erweiterung in PHP auch die von ClamAV verwendete regex-Bibliothek.

CVE-2015-2301: Schwachstelle in PHP erlaubt Denial-of-Service

Eine Schwachstelle in PHP besteht in einer fehlerhaften Speicherbehandlung
in der PHAR-Erweiterung. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um PHP zum Absturz zu bringen, d.h.
einen Denial-of-Service (DoS)-Zustand herbeizuführen, oder möglicherweise
beliebigen Programmcode auszuführen.

CVE-2015-0273: Schwachstelle in DateTimeZone von PHP ermöglicht das
Ausführen beliebigen Programmcodes

In DateTimeZone von PHP wird mit unserialize() bereits freigegebener
Speicher weiterhin benutzt (use-after-free). Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
beliebigen Programmcode auszuführen.

CVE-2015-1352: Schwachstelle in PostgreSQL Datenbankschnittstelle ermöglicht
das Ausführen beliebigen Programmcodes

Die PHP PostgreSQL Datenbankschnittstelle ‘pgsql’ behandelt bestimmte Zeiger
nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um PHP zum Absturz oder beliebigen Programmcode zur
Ausführung zu bringen.

CVE-2014-0227: Schwachstelle in Chunked Transfer Encoding ermöglicht
Denial-of-Service-Angriff

Eine Schwachstelle in dem ‘Chunked Transfer Encoding’ von Tomcat führt dazu,
dass bei der Verarbeitung einer präparierten Chunk-Anfrage Teile des
Anfrage-Hauptteil als eine neue Anfrage aufgefasst werden. Ein entfernter,
nicht authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.

CVE-2015-0231: Schwachstelle in PHP ermöglicht das Ausführen von beliebigem
Programmcode

In der Funktion unserialize() von PHP existiert eine Benutzen-nach-Freigabe
(use-after-free)-Schwachstelle. Ein entfernter, nicht authentifizierter
Angreifer kann durch präparierte PHP-Werte beliebigen Programmcode
ausführen.

CVE-2014-8142: Schwachstelle in PHP erlaubt beliebigen Programmcode
auszuführen

Eine Use-after-free-Schwachstelle in der Funktion “process_nested_data” in
ext/standard/var_unserializer.re in PHP bevor 5.4.36, 5.5.x bevor 5.5.20 und
5.6.x bevor 5.6.4 kann mittels eines präparierten, nicht serialisierten
Aufrufs, bei dem duplizierte Schlüssel innerhalb der serialisierten
Eigenschaften eines Objektes fehlerhaft behandelt werden, ausgenutzt werden.
Es handelt sich um eine andere Schwachstelle als CVE-2004-1019.

CVE-2013-5704: Schwachstelle ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Es besteht eine Schwachstelle im Modul mod_headers des Apache Webservers,
die es ermöglicht eine Funktion ‘Header aus einem Request zu entfernen’ des
Moduls zu umgehen. Ein entfernter, nicht authentisierter Angreifer kann
durch eine Aufteilung eines Requests die Schwachstelle dazu ausnutzen
Sicherheitsvorkehrungen zu umgehen.

CVE-2014-0231: Schwachstelle in “mod_cgid” erlaubt Denial-of-Service

Eine Schwachstelle besteht in “mod_cgid”, wenn ein Server “mod_cgid”
gehostede CGI-Skripte verwendet, welche keine Standardeingaben verarbeiten.
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um den Kind-Prozess zum Hängen zu bringen, d. h. einen
Denial-of-Service-Zustand zu verursachen.

CVE-2014-0226: Race-Condition-Schwachstelle in “mod_status”

Eine Race-Condition wurde in “mod_status” gefunden. Ein entfernter, nicht
authentisierter Angreifer, der in der Lage ist, eine öffentliche Statusseite
eines Servers aufzurufen, welcher verkettete Multi-Processing-Module (MPM)
verwendet, kann diese Schwachstelle ausnutzen, indem er einen speziell
präparierten Request sendet, um einen Überlauf des Heap-Speichers zu
verursachen (“heap buffer overflow”). In der Folge kann ein
Denial-of-Service-Zustand entstehen, die Ausführung von beliebigem
Programmcode oder das Ausspähen von Informationen möglich werden. Anmerkung:
Normalerweise sollten Serverstatusseiten nicht öffentlich erreichbar gemacht
werden.

CVE-2014-0118: Schwachstelle in “mod_deflate” erlaubt Denial-of-Service

Eine Schwachstelle in “mod_deflate” führt zum Verbrauch von Ressourcen. Wenn
“request body decompression” konfiguriert ist, unter Verwendung des
“DEFLATE”-Eingabefilters, kann diese Schwachstelle von einem entfernten,
nicht authentisierten Angreifer ausgenutzt werden, um den Server dazu zu
bringen, signifikant Speicher und/oder Prozessor (CPU)-Ressourcen zu
verbrauchen. Die Verwendung von “request body decompression” ist keine
übliche Konfiguration.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0842/

Schwachstelle CVE-2013-5704 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5704

Schwachstelle CVE-2014-0118 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0118

Schwachstelle CVE-2014-0226 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0226

Schwachstelle CVE-2014-0231 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0231

Schwachstelle CVE-2014-8142 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8142

Schwachstelle CVE-2015-0231 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0231

Schwachstelle CVE-2014-0227 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0227

Schwachstelle CVE-2015-1352 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1352

Schwachstelle CVE-2015-0273 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0273

Schwachstelle CVE-2015-2301 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2301

Schwachstelle CVE-2015-2305 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2305

Schwachstelle CVE-2015-2331 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2331

Schwachstelle CVE-2014-9709 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9709

Schwachstelle CVE-2015-2783 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2783

HP Security Bulletin HPSBUX03337 SSRT102066:
https://h20564.www2.hp.com/hpsc/doc/public/display?docId=emr_na-c04686230

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.