Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cairo

Betroffene Plattformen:

SUSE Linux Enterprise Software Development Kit 12 SP2
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi

Zwei Schwachstellen in Cairo ermöglichen einem entfernten, nicht
authentisierten Angreifer die Durchführung von Denial-of-Service-Angriffen.

Für die SUSE Linux Enterprise 12 SP2 Produkte Software Development Kit,
Server for Raspberry Pi, Server und Desktop stehen Sicherheitsupdates
bereit.

Patch:

SUSE Security Update SUSE-SU-2017:1671-1

http://lists.suse.com/pipermail/sle-security-updates/2017-June/002978.html

CVE-2017-7475: Schwachstelle in Cairo ermöglicht Denial-of-Service-Angriff

In Cairo 1.15.4 existiert eine Schwachstelle im Zusammenhang mit den
Funktionen ‘FT_Load_Glyph’ und ‘FT_Render_Glyph’, die es einem entfernten,
nicht authentisierten Angreifer ermöglicht über eine bösartig präparierte
Schriftart eine NULL-Zeiger-Dereferenzierung zu provozieren, in deren Folge
die Anwendung abstürzt (Denial-of-Service).

CVE-2016-9082: Schwachstelle in Cairo ermöglicht Denial-of-Service-Angriff

In der Funktion ‘write_png’ in Cairo 1.14.6 existiert eine Schwachstelle,
die es einem entfernten, nicht authentisierten Angreifer ermöglicht, mit
HIlfe einer großen SVG-Datei einen Ganzzahlüberlauf (Integer Overflow) zu
provozieren, in dessen Folge die Anwendung abstürzt (Denial-of-Service).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1104/

Schwachstelle CVE-2016-9082 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9082

Schwachstelle CVE-2017-7475 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7475

SUSE Security Update SUSE-SU-2017:1671-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-June/002978.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.