Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Apache Software Foundation HTTP-Server <= 2.4.10 Betroffene Plattformen: openSUSE 13.1 openSUSE 13.2 Mehrere Schwachstellen ermöglichen einem entfernten, nicht authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen. Für die Distributionen openSUSE 13.2 und openSUSE 13.1 stehen Sicherheitsupdates für Apache2 zur Verfügung. Patch: openSUSE Security Update openSUSE-SU-2015:1684-1 http://lists.opensuse.org/opensuse-updates/2015-10/msg00011.html
CVE-2015-3185: Schwachstelle im HTTP-Server ermöglicht das Umgehen von
Sicherheitsmaßnahmen
Ein Designfehler im Apache HTTP-Server führt dazu, dass die API Anfragen
durchlässt, die eigentlich keine Berechtigung in der Konfiguration haben.
Die Dokumentation sagt aus, dass die API antworten muss, wenn die
erforderlichen “Require”-Zeilen in der Konfigurationsdatei vorhanden sind.
Seit der Version 2.4.x werden sie außerdem für die Autorisierung in der
Konfigurationsdatei genutzt, selbst dann, wenn keine Authentisierung
notwendig ist. Das kann dazu führen, dass Module, die diese API integriert
haben, Zugang gewähren, obwohl sie es eigentlich nicht sollten. Ein
entfernter, nicht authentisierter Angreifer kann Sicherheitsvorkehrungen
umgehen.
CVE-2015-3183: Schwachstelle im HTTP-Server ermöglicht das Umgehen von
Sicherheitsvorkehrungen
In modules/http/http_filters.c. im Apache HTTP-Server besteht ein Fehler im
Parser von Chunk-Headern bei aufgeteilten Anfragen in “Chunks”, der in
Verbindung mit großen Chunk-Größenwerten und ungültigen Zeichen in
Chunk-Erweiterungen auftritt. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle mit Hilfe speziell präparierter Anfragen
ausnutzen, um den Server zu einer Fehlinterpretation der Länge der Anfrage
zu veranlassen, um HTTP-Anfragen zu schmuggeln und Cache Poisoning oder
Credential-Entführung im Fall von Proxy-Umgebungen zu erreichen.
CVE-2015-4000: TLS: Eine Schwachstelle ermöglicht Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle im Handshake des TLS-Protokolls Version 1.2 und früher
führt dazu, dass bei der Aushandlung der zu verwendenden
Diffie-Hellman-Verschlüsselung (DHE) ein Teil der Kommunikation nicht
signiert stattfindet. Der Client sendet zuerst eine Liste mit Vorschlägen
von Algorithmen, die für die Verschlüsselung verwendet werden können, an den
Server und dieser wählt einen Algorithmus aus der Liste aus. Die Verbindung
ist zu dem Zeitpunkt, zu dem der Client die Liste sendet, noch nicht
signiert. Durch einen Man-in-the-Middle-Angriff kann die Liste so verändert
werden, dass aus einem “ClientHello DHE” ein “ClientHello DHE_EXPORT” wird
und der Server eine DHE 512 Bit-Gruppe auswählt. Der Angreifer modifiziert
die Serverantwort entsprechend von “ServerHello DHE_EXPORT” zu “ServerHello
DHE”. Der Client bietet eine unsichere 512-Bit Gruppe im normalen Modus
nicht von sich aus an, akzeptiert diese aber, wenn sie vom Server
vorgeschlagen wird. Voraussetzung ist, dass auf dem Server der EXPORT-Modus
(DHE_EXPORT) aktiviert ist. Viele Server im Internet unterstützen für den
EXPORT-Modus die gleichen Gruppen, wodurch es möglich wird, einen Großteil
der für den Angriff notwendigen Berechnungen vorab zu erledigen.
Die Schwachstelle ist unter dem Namen Logjam bekannt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1542/
Schwachstelle CVE-2015-4000 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4000
Schwachstelle CVE-2015-3183 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3183
Schwachstelle CVE-2015-3185 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3185
openSUSE Security Update openSUSE-SU-2015:1684-1:
http://lists.opensuse.org/opensuse-updates/2015-10/msg00011.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
