Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

rpcbind

Betroffene Plattformen:

Debian Linux 7.9 Wheezy
Debian Linux 8.2 Jessie

Eine Schwachstelle in rpcbind, einem Server, der RPC Programm-Nummern in
universelle Adressen konvertiert, ermöglicht einem entfernten, nicht
authentifizierten Angreifer einen Denial-of-Service (DoS)-Angriff
durchzuführen.

Debian stellt für seine Distributionen Wheezy 7.9 (oldstable) und Jessie 8.2
(stable) Backport-Sicherheitsupdates bereit.

Patch:

Debian Security Advisory DSA-3366-1

https://www.debian.org/security/2015/dsa-3366

CVE-2015-7236: Schwachstelle in rpcbind erlaubt Denial-of-Service

Die Funktion “PMAP_CALLIT” in rpcbind enthält eine nicht näher beschriebene
Use-after-free-Schwachstelle. Durch Ausnutzen dieser Schwachstelle kann der
rpcbind-Prozess zum Absturz gebracht werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1481/

Schwachstelle CVE-2015-7236 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7236

Debian Security Advisory DSA-3366-1:
https://www.debian.org/security/2015/dsa-3366

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.