Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Perl-Compatible-Regular-Expression (PCRE) Bibliothek 8.38

Betroffene Plattformen:

Red Hat Fedora 22
Red Hat Fedora 23

Ein entfernter, nicht authentifizierter Angreifer kann eine Schwachstelle
ausnutzen, um durch speziell präparierte reguläre Ausdrücke einen
Pufferüberlauf zu erzeugen und in der Folge einen Denial-of-Service
(DoS)-Angriff oder weitere nicht spezifizierte Angriffe durchzuführen. Eine
weitere Schwachstelle ermöglicht einem lokalen, nicht authentifizierten
Angreifer einen Denial-of-Service (DoS)-Angriff auf das
Kommandozeilenprogramm ‘pcretest’.

Für die Distributionen Fedora 22 und 23 stehen mit den Paketen
pcre-8.38-3.fc22 und pcre-8.38-6.fc23 Sicherheitsupdates im Status
‘testing’, bzw. ‘stable’ bereit.

Patch:

Fedora Security Update FEDORA-2016-65833b5dbc (Fedora 23)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-65833b5dbc

Patch:

Fedora Security Update FEDORA-2016-f5af8e27ce (Fedora 22)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-f5af8e27ce

Red Hat Bug ID 1312782: Schwachstelle in PCRE ermöglicht
Denial-of-Service-Angriff

Durch speziell präparierte Eingangsdaten lässt sich in ‘pcretest.c’ eine
Endlosschleife erzeugen, falls eine Anfrage an ‘global matching’ mit einer
‘ovector’-Größe kleiner 2 gestellt wird. Ein lokaler, nicht
authentifizierter Angreifer mit Zugriff auf die Kommandozeilenprogramme
‘pcretest’ oder ‘pcre2test’ kann einen Denial-of-Service-Angriff ausführen.

CVE-2016-1283: Schwachstelle in PCRE ermöglicht Denial-of-Service-Angriff

In der Funktion ‘pcre_compile2′ der PCRE-Bibliothek Version 8.38 werden
reguläre Ausdrücke der Form
/((?:F?+(?:^(?(R)a+\”){99}-))(?J)(?’R'(?’R’<((?'RR'(?'R'\){97)?J)?J)(?'R'(?'R'\){99|(:(?|(?'R')(\k'R')|((?'R')))H'R'R)(H'R))))))/ sowie ähnliche Ausdrücke mit benannten Untergruppen (named subgroups) nicht korrekt behandelt. Ein entfernter, nicht authentifizierter Angreifer kann durch speziell präparierte reguläre Ausdrücke einen Pufferüberlauf erzeugen und in der Folge einen Denial-of-Service-Angriff oder weitere nicht spezifizierte Angriffe durchführen. Referenzen: Dieses Advisory finden Sie auch im DFN-CERT Portal unter: https://portal.cert.dfn.de/adv/DFN-CERT-2016-0349/

Schwachstelle CVE-2016-1283 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1283

Fedora Security Update FEDORA-2016-65833b5dbc (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-65833b5dbc

Fedora Security Update FEDORA-2016-f5af8e27ce (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-f5af8e27ce

Red Hat Bug 1312782:
https://bugzilla.redhat.com/show_bug.cgi?id=1312782

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.