Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Perl-Compatible-Regular-Expression (PCRE) Bibliothek <= 8.35 Perl-Compatible-Regular-Expression (PCRE) Bibliothek <= 8.37 Betroffene Plattformen: Red Hat Fedora 21 Red Hat Fedora 22 Red Hat Fedora 23 Zwei Schwachstellen ermöglichen einem entfernten, nicht authentifizierten Angreifer Speicherbereiche, die im Kontext der Anwendung zugewiesen werden, auszulesen und zu verändern, wodurch möglicherweise auch beliebiger Programmcodes zur Ausführung gebracht werden kann. Für die Distributionen Fedora 21, 22 und 23 stehen Sicherheitsupdates in Form der Pakete pcre-8.35-14.fc21, pcre-8.37-4.fc22, bzw. pcre-8.37-4.fc23 im Status 'testing' zur Verfügung. Für Fedora 22 wird Bug ID 1250943 nicht genannt. Patch: Fedora Securits Update FEDORA-2015-14235 https://bodhi.fedoraproject.org/updates/pcre-8.37-4.fc22

Patch:

Fedora Security Update FEDORA-2015-14229

https://bodhi.fedoraproject.org/updates/pcre-8.37-4.fc23

Patch:

Fedora Security Update FEDORA-2015-14242

https://bodhi.fedoraproject.org/updates/pcre-8.35-14.fc21

Red Hat Bug ID 1256449: Schwachstelle in PCRE erlaubt Ausführen beliebigen
Programmcodes

Bei der Verarbeitung eines bestimmten regulären Ausdrucks durch
compile_regex() in PCRE kann es aufgrund fehlerhafter Speicherberechnungen
zu einem Heap-Speicherüberlauf kommen. Diese Schwachstelle ist ähnlich Red
Hat Bug ID 1250943, wird aber durch einen anderen regulären Ausdruck
ausgelöst. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, mittels eines speziell präparierten regulären
Ausdrucks, um über die Grenzen des zugewiesenen Speichers hinaus zu lesen
und zu schreiben.

Red Hat Bug ID 1250943: Schwachstelle in PCRE erlaubt Ausführen beliebigen
Programmcodes

Bei der Behandlung eines bestimmten regulären Ausdrucks in PCRE kann es
aufgrund fehlerhafter Speicherberechnungen zu einem Heap-Speicherüberlauf
kommen. Diese Schwachstelle ist ähnlich Red Hat Bug ID 1256449, wird aber
durch einen anderen regulären Ausdruck ausgelöst. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, mittels
eines speziell präparierten regulären Ausdrucks, um über die Grenzen
zugewiesenen Speichers hinaus zu lesen und zu schreiben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1325/

Fedora Securits Update FEDORA-2015-14235 :
https://bodhi.fedoraproject.org/updates/pcre-8.37-4.fc22

Fedora Security Update FEDORA-2015-14229 :
https://bodhi.fedoraproject.org/updates/pcre-8.37-4.fc23

Fedora Security Update FEDORA-2015-14242 :
https://bodhi.fedoraproject.org/updates/pcre-8.35-14.fc21

Red Hat Bug ID 1250943:
https://bugzilla.redhat.com/show_bug.cgi?id=1250943

Red Hat Bug ID 1256449:
https://bugzilla.redhat.com/show_bug.cgi?id=1256449

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.