Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Python

Betroffene Plattformen:

openSUSE 13.2
openSUSE Leap 42.1

Mehrere Schwachstellen in Python ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Ausführen beliebigen Programmcodes, die
Durchführung eines Denial-of-Service (DoS)-Angriffs sowie das Ausspähen von
Informationen.

Für openSUSE 13.2 und openSUSE Leap 42.1 stehen Sicherheitsupdates bereit.

Patch:

openSUSE Security Update openSUSE-SU-2016:1885-1

http://lists.opensuse.org/opensuse-updates/2016-07/msg00084.html

CVE-2016-5699: Schwachstelle in Python ermöglicht u.a. die Ausführung
beliebigen Programmcodes

Die Bibliotheken zur Verarbeitung von URLs ‘urllib2’ in Python 2.x und
‘urllib’ in Python 3.x sind durch Protocol Stream Injection-Angriffe über
HTTP verwundbar, da der entsprechende Programmcode Prozent-kodierte Werte
als Teil der Host-Komponente der URL akzeptiert und diese ohne weitere
Validierung in den HTTP-Stream einfügt. Ein entfernter, nicht
authentifizierter Angreifer kann mit Hilfe speziell präparierter URLs, die
von einer internen Python-Anwendung verarbeitet werden, HTTP-Kopfdaten und
beliebige HTTP-Anfragen in den HTTP-Stream einfügen und dadurch Zugriff auf
interne Ressourcen erhalten. In der Folge kann der Angreifer abhängig vom
betroffenen internen Prozess Informationen ausspähen, einen
Denial-of-Service-Zustand auslösen oder beliebigen Programmcode ausführen.

CVE-2016-5636: Schwachstelle in Python ermöglicht Ausführung beliebigen
Programmcodes

In der Funktion ‘zipimport.c’ werden die Eingangsdaten für ‘data_size’ nicht
geprüft. Falls ‘data_size’ den Wert ‘-1’ hat, erhält ‘byte_size’ im weiteren
Verlauf der Datenverarbeitung den Wert ‘1’, wodurch Python einen kleinen
Bereich auf dem Heap-Speicher alloziert und im folgenden Aufruf von ‘fread’
einen Überlauf auf dem Heap verursacht. Ein entfernter, nicht
authentifizierter Angreifer kann mit Hilfe speziell präparierter
ZIP-Archivdateien einen Überlauf auf dem Heap-Speicher auslösen und in der
Folge möglicherweise beliebigen Programmcode ausführen.

CVE-2016-0772: Schwachstelle in Python ermöglicht Ausspähen von
Informationen

Es existiert eine Schwachstelle in der Python-Bibliothek ‘smtplib’, weil ein
fehlerhafter Verbindungsaufbau mit StartTLS in der Funktion ‘SMTP.starttls’
nicht durch eine Ausnahme (Exception) behandelt wird. Ein entfernter, nicht
authentifizierter Angreifer mit der Möglichkeit, einen Man-in-the-middle
(MitM)-Angriff durchzuführen, kann durch diese Schwachstelle den Befehl
‘STARTTLS’ unterbinden, ohne dabei eine Ausnahme auszulösen, und so den
Aufbau der TLS-Verbindung verhindern. Dadurch ist dieser in der Lage, die
folgende Kommunikation unverschlüsselt mitzulesen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1214/

Schwachstelle CVE-2016-0772 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0772

Schwachstelle CVE-2016-5636 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5636

Schwachstelle CVE-2016-5699 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5699

openSUSE Security Update openSUSE-SU-2016:1885-1:
http://lists.opensuse.org/opensuse-updates/2016-07/msg00084.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.