Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
OpenLDAP 2
Betroffene Plattformen:
SUSE Linux Enterprise Module for Legacy Software 12
SUSE Linux Enterprise Software Development Kit 12
SUSE Linux Enterprise Software Development Kit 12 SP1
openSUSE 13.2
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Server for SAP Applications 12
SUSE Linux Enterprise Server 12
SUSE Linux Enterprise Server 12 SP1
SUSE SUSE Linux Enterprise Desktop 12
Zwei Schwachstellen in OpenLDAP erlauben einem entfernten, nicht
authentifizierten Angreifer das Umgehen von Sicherheitsmaßnahmen und darüber
hinaus einen Denial-of-Service-Angriff. Eine Schwachstelle basiert auf einem
Fehler im TLS-Protokoll und ist unter dem Namen ‘Logjam’ bekannt.
Für SUSE Linux Enterprise Software Development Kit 12-SP1 und 12, Server für
SAP 12, Server 12-SP1 und 12, Module für Legacy Software 12, Desktop 12-SP1
und 12 sowie openSUSE 13.2 stehen Sicherheitsupdates zur Verfügung.
Patch:
SUSE Security Update SUSE-SU-2016:0224-1
http://lists.opensuse.org/opensuse-security-announce/2016-01/msg00031.html
Patch:
SUSE Security Update SUSE-SU-2016:0224-1
https://www.suse.com/support/update/announcement/2016/suse-su-20160224-1.html
Patch:
openSUSE Security Update openSUSE-SU-2016:0226-1
http://lists.opensuse.org/opensuse-security-announce/2016-01/msg00032.html
Patch:
openSUSE Security Update openSUSE-SU-2016:0226-1
http://lists.opensuse.org/opensuse-updates/2016-01/msg00090.html
CVE-2015-6908: Schwachstelle in OpenLDAP ermöglicht
Denial-of-Service-Angriff
OpenLDAP, eine freie Implementierung des Lightweight Directory Access
Protocol (LDAP), enthält eine Schwachstelle in der Bibliothek
libraries/liblber/io.c. Die Funktion ber_get_next überprüft BER-Daten
fehlerhaft. Ein entfernter, nicht authentisierter Angreifer kann die
Schwachstelle ausnutzen, mittels speziell präparierter BER-Daten, um einen
teilweisen Denial-of-Service-Zustand herbeiführen (“slapd daemon crash”).
CVE-2015-4000: TLS: Eine Schwachstelle ermöglicht Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle im Handshake des TLS-Protokolls Version 1.2 und früher
führt dazu, dass bei der Aushandlung der zu verwendenden
Diffie-Hellman-Verschlüsselung (DHE) ein Teil der Kommunikation nicht
signiert stattfindet. Der Client sendet zuerst eine Liste mit Vorschlägen
von Algorithmen, die für die Verschlüsselung verwendet werden können, an den
Server und dieser wählt einen Algorithmus aus der Liste aus. Die Verbindung
ist zu dem Zeitpunkt, zu dem der Client die Liste sendet, noch nicht
signiert. Durch einen Man-in-the-Middle-Angriff kann die Liste so verändert
werden, dass aus einem “ClientHello DHE” ein “ClientHello DHE_EXPORT” wird
und der Server eine DHE 512 Bit-Gruppe auswählt. Der Angreifer modifiziert
die Serverantwort entsprechend von “ServerHello DHE_EXPORT” zu “ServerHello
DHE”. Der Client bietet eine unsichere 512-Bit Gruppe im normalen Modus
nicht von sich aus an, akzeptiert diese aber, wenn sie vom Server
vorgeschlagen wird. Voraussetzung ist, dass auf dem Server der EXPORT-Modus
(DHE_EXPORT) aktiviert ist. Viele Server im Internet unterstützen für den
EXPORT-Modus die gleichen Gruppen, wodurch es möglich wird, einen Großteil
der für den Angriff notwendigen Berechnungen vorab zu erledigen.
Die Schwachstelle ist unter dem Namen Logjam bekannt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0135/
Schwachstelle CVE-2015-4000 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4000
Schwachstelle CVE-2015-6908 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6908
SUSE Security Update SUSE-SU-2016:0224-1:
http://lists.opensuse.org/opensuse-security-announce/2016-01/msg00031.html
SUSE Security Update SUSE-SU-2016:0224-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20160224-1.html
openSUSE Security Update openSUSE-SU-2016:0226-1:
http://lists.opensuse.org/opensuse-security-announce/2016-01/msg00032.html
openSUSE Security Update openSUSE-SU-2016:0226-1:
http://lists.opensuse.org/opensuse-updates/2016-01/msg00090.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
