Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
PHP
Betroffene Plattformen:
openSUSE Leap 42.2
Zwei Schwachstellen in PHP ermöglichen einem entfernten, nicht
authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen sowie die
Durchführung eines Denial-of-Service-Angriffs.
Für openSUSE Leap 42.2 stehen aktualisierte ‘php7’-Pakete als
Sicherheitsupdate bereit.
Patch:
openSUSE Security Update openSUSE-SU-2016:3092-1
http://lists.opensuse.org/opensuse-updates/2016-12/msg00073.html
CVE-2016-9137: Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff
In der Funktion ‘unserialize()’ kann es bei der Verarbeitung speziell
präparierter Eingangsparameter zum Zugriff auf bereits freigegebene
Speicherbereiche kommen (Use-after-free). Ein entfernter, nicht
authentifizierter Angreifer kann eine Schwachstelle in PHP für einen
Denial-of-Service-Angriff ausnutzen und möglicherweise beliebigen
Programmcode zur Ausführung bringen.
CVE-2016-5385: Schwachstelle in PHP ermöglicht Umgehen von
Sicherheitsvorkehrungen
PHP bis einschließlich Version 7.0.8 versucht nicht, einen durch RFC 3875
Sektion 4.1.18 bedingten Namensraumkonflikt zu adressieren und schützt
deshalb Anwendungen nicht vor nicht vertrauenswürdigen Client-Daten in der
HTTP_PROXY-Umgebungsvariablen. Dadurch ist es mit Hilfe eines präparierten
Proxy-Headers in einer HTTP-Anfrage – beispielsweise mittels einer
Anwendung, die einen getenv(‘HTTP_PROXY’) Aufruf tätigt oder durch eine
bestimmte CGI-Konfiguration von PHP – möglich, den ausgehenden HTTP-Verkehr
einer Anwendung auf einen beliebigen Proxy-Server umzuleiten. Das Problem
ist unter dem Namen ‘httpoxy’ bekannt. Ein entfernter, nicht authentisierter
Angreifer kann Sicherheitsvorkehrungen umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-2047/
Schwachstelle CVE-2016-5385 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5385
Schwachstelle CVE-2016-9137 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9137
openSUSE Security Update openSUSE-SU-2016:3092-1:
http://lists.opensuse.org/opensuse-updates/2016-12/msg00073.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
