Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

libESMTP

Betroffene Plattformen:

Extra Packages for Red Hat Enterprise Linux 5

Ein entfernter, nicht authentisierter Angreifer kann durch Ausnutzen zweier
Schwachstellen Man-in-the-Middle (MitM)-Angriffe durchführen und dadurch an
potenziell vertrauliche Informationen gelangen oder Daten manipulieren.

Für Fedora EPEL 5 steht ein Sicherheitsupdate in Form des Paketes
‘libesmtp-1.0.4-8.el5’ im Status ‘testing’ zur Verfügung, um diese
Schwachstellen zu beheben.

Patch:

Fedora Security Update FEDORA-EPEL-2017-58347aa9ad (Fedora EPEL 5,
libesmtp-1.0.4-8.el5)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-58347aa9ad

CVE-2010-1192: Schwachstelle in libESMT ermöglicht Umgehen von
Sicherheitsvorkehrungen

Die Bibliothek libESMTP akzeptiert NULL-Zeichen im Domainnamen des CN-Felds
eines Zertifikats. Ein Angreifer kann diese Schwachstelle dazu ausnutzen,
ein Zertifkat mit NULL-Zeichen zu konstruieren und damit vorgeben, dass sein
Zertifikat zu einer anderen Site gehört. Allerdings muss er dazu sein
Zertifikat von einer vertrauenswürdigen CA signieren lassen. Auf diese Weise
kann er Man-in-the-Middle-Angriffe durchführen und an vertrauliche Daten des
Benutzers gelangen (siehe auch CVE-2009-2408). Ein entfernter, nicht
authentisierter Angreifer kann Sicherheitsvorkehrungen umgehen.

CVE-2010-1194: Schwachstelle in libESMT ermöglicht Umgehen von
Sicherheitsvorkehrungen

Die Funktion ‘match_component()’ aus der Bibliothek libESMTP betrachtet zwei
Zeichenketten als gleich, wenn eine davon vollständig in der anderen
enthalten ist (z.B. “aaa” in “abaaabb”). Dieses führt dazu, dass Angreifer
den subjectAltName in ihren X.509 Zertifikaten so setzen können, dass die
libESMTP das Zertifikat als gültig akzeptiert, obwohl es nicht von einer
vertrauenswürdigen CA signiert wurde. Ein entfernter, nicht authentisierter
Angreifer kann dadurch Man-in-the-Middle-Angriffe durchführen und an evtuell
vertrauliche Daten gelangen oder Daten manipulieren.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0122/

Fedora Security Update FEDORA-EPEL-2017-58347aa9ad (Fedora EPEL 5,
libesmtp-1.0.4-8.el5):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-58347aa9ad

Schwachstelle CVE-2010-1192 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-1192

Schwachstelle CVE-2010-1194 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-1194

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.