Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
cURL >= 7.7
cURL < 7.56.0
Betroffene Plattformen:
Apple Mac OS X
FreeBSD
GNU/Linux
Microsoft Windows
NetBSD
OpenBSD
Oracle Solaris
Red Hat Fedora 26
Red Hat Fedora 27
Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in
libcurl mit Hilfe eines speziell präparierten FTP-Servers ausnutzen, um die
Verbindung von libcurl-basierten Clients zum Server zu unterbinden und eine
Schutzverletzung auszulösen.
Der Hersteller veröffentlicht cURL 7.56.0 als Sicherheitsupdate zur Behebung
der Schwachstelle und stellt einen Patch für ältere Versionen zur Verfügung.
Für Fedora 26 und 27 stehen Backport-Sicherheitsupdates bereit, die sich
derzeit noch im Status 'pending' befinden.
Workaround:
Die Möglichkeit zum Zugriff auf FTP kann in den 'CURLOPT_PROTOCOLS' ab cURL
7.19.4 unterbunden werden.
Patch:
Project cURL Security Advisory, October 4th 2017
https://curl.haxx.se/docs/adv_20171004.html
Patch:
Fedora Security Update FEDORA-2017-601b4c20a4 (Fedora 26,
curl-7.53.1-11.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-601b4c20a4
Patch:
Fedora Security Update FEDORA-2017-e8179c06fd (Fedora 27,
curl-7.55.1-6.fc27)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-e8179c06fd
CVE-2017-1000254: Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff
Bei Verbindung mit einem FTP-Server verwendet libcurl den Befehl ‘PWD’, um
das aktuelle Verzeichnis in Erfahrung zu bringen. Der Server antwortet
darauf mit einer Zeichenkette, die den Pfad in doppelten Anführungszeichen
enthält. Diese wird für weitere Anfragen wiederverwendet. Falls die
Zeichenkette kein schließendes Anführungszeichen enthält, hängt libcurl
fälschlicherweise kein NULL-Byte an den Namenspuffer, wodurch eine
Zugriffsverletzung auftreten kann oder Daten hinter dem Puffer als Teil der
Pfadangabe interpretiert werden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1750/
Project cURL Security Advisory, October 4th 2017:
https://curl.haxx.se/docs/adv_20171004.html
Fedora Security Update FEDORA-2017-601b4c20a4 (Fedora 26, curl-7.53.1-11.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-601b4c20a4
Fedora Security Update FEDORA-2017-e8179c06fd (Fedora 27, curl-7.55.1-6.fc27):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-e8179c06fd
Schwachstelle CVE-2017-1000254 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000254
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
