Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 14.10
Canonical Ubuntu Linux 15.04

Betroffene Plattformen:

Canonical Ubuntu Linux

Mehrere Schwachstellen im NBD-Protokoll ermöglichen auch einem entfernten,
nicht authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen und
Bewirken von Denial-of-Service-Zuständen.

Für die Distributionen Ubuntu 15.04, Ubuntu 14.10, Ubuntu 14.04 LTS und
Ubuntu 12.04 LTS stehen Sicherheitsupdates bereit. Von den Schwachstellen
CVE-2013-6410 und CVE-2013-7441 ist nur die Distribution Ubuntu 12.04 LTS
betroffen.

Patch:

Ubuntu Security Notice USN-2676-1

http://www.ubuntu.com/usn/usn-2676-1/

CVE-2015-0847: Schwachstelle in NBD-Server ermöglicht
Denial-of-Service-Angriff

Eine Schwachstelle in dem Network-Block-Device-Server führt zu einer
unsicheren Behandlung von Signalen. Es werden von Signal-Handern nicht
wiedereintrittsfähige Funktionen aufgerufen und dadurch Prozessabstürze,
undefinierte Zustände und Operationen hervorgerufen. Ein nicht
authentifizierter Angreifer im benachbarten Netzwerk kann einen
Denial-of-Service-Angriff durchführen.

CVE-2013-7441: Schwachstelle im Network-Block-Device-Protokoll ermöglicht
Denial-of-Service-Angriff

Eine Schwachstelle in dem Network-Block-Device-Protokoll führt dazu, dass
der NBD-Server-Prozess, während dieser auf Verbindungsanfragen wartet, bei
der Aushandlung einer Verbindung mit einem SIGPIPE-Fehler abstürzt. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.

CVE-2013-6410: Schwachstelle im Network-Block-Device (NBD)-Server

Eine Schwachstelle im NBD-Server im Zusammenhang mit einer falschen
Verwendung von strncmp() beim Parsen der Konfigurationsdatei kann zu
unberechtigtem Zugriff führen. Ein entfernter, nicht authentifizierter
Angreifer aus dem selben lokalen Netzwerk kann Zugriff auf das ‘Network
Block Device’ erlangen, wenn die IP des Clients den gleichen Prefix wie eine
erlaubte IP-Adresse hat.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1115/

Schwachstelle CVE-2013-6410 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6410

Schwachstelle CVE-2013-7441 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7441

Schwachstelle CVE-2015-0847 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0847

Ubuntu Security Notice USN-2676-1:
http://www.ubuntu.com/usn/usn-2676-1/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.