Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
QtWebEngine < 5.9.3 Betroffene Plattformen: Red Hat Fedora 25 Red Hat Fedora 26 Red Hat Fedora 27 Eine Vielzahl von Schwachstellen in der auf Chromium aufbauenden QtWebEngine ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung verschiedener Angriffe: Mehrere Schwachstellen ermöglichen dem Angreifer die Ausführung beliebigen Programmcodes, Denial-of-Service (DoS)-Angriffe und die Darstellung falscher Informationen. Eine Schwachstelle ermöglicht einen Universal-Cross-Site-Scripting (UXSS)-Angriff, eine weitere das Umgehen von Sicherheitsvorkehrungen und eine Schwachstelle ermöglicht nicht genauer spezifizierte Angriffe. Für Fedora 25, 26 und 27 steht QtWebEngine in der Version 5.9.3 als Sicherheitsupdate im Status 'testing' bereit, mit dem Schwachstellen aus Chromium bis hin zu der Version 62.0.3202.89 behoben werden. Patch: Fedora Security Update EDORA-2017-4d90e9fc97 (Fedora 26, qt5-qtwebengine-5.9.3-1.fc26) https://bodhi.fedoraproject.org/updates/FEDORA-2017-4d90e9fc97
Patch:
Fedora Security Update FEDORA-2017-15b815b9b7 (Fedora 27,
qt5-qtwebengine-5.9.3-1.fc27)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-15b815b9b7
Patch:
Fedora Security Update FEDORA-2017-9015553e3d (Fedora 25,
qt5-qtwebengine-5.9.3-1.fc25)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-9015553e3d
CVE-2017-5133: Schwachstelle in Skia ermöglicht Denial-of-Service-Angriff
In der Komponente Skia, die in Google Chrome und Chromium vor Version
62.0.3202.62 verwendet wird, existiert eine nicht näher spezifizierte
Schwachstelle, die auf einem Schreiben über Begrenzungen hinweg (Out of
bounds Write) basiert. Ein entfernter, nicht authentisierter Angreifer ist
darüber in der Lage, einen Denial-of-Service-Zustand zu bewirken.
CVE-2017-15390: Schwachstelle in Omnibox ermöglicht Darstellen falscher
Informationen
In Omnibox, welches u.a. von Google Chrome und Chromium vor Version
62.0.3202.62 verwendet wird, existiert eine nicht näher beschriebene
Schwachstelle, die es ermöglicht falsche Uniform Resource Locator (URL’s)
darzustellen (URL Spoofing). Ein entfernter, nicht authentisierter Angreifer
kann gefälschte URL-Informationen darstellen und dies als Ausgangspunkt für
weitere Angriffe verwenden.
CVE-2017-15398: Schwachstelle in QUIC ermöglicht u.a. Ausführung beliebigen
Programmcodes
In Google Chrome vor Version 62.0.3202.89 besteht eine nicht näher
beschriebene Schwachstelle im eigens entwickelten Transport Layer Protocol
QUIC (Quick UDP Internet Connections), die es einem entfernten, nicht
authentisierten Angreifer ermöglicht, den Stack-basierten Pufferspeicher zum
Überlauf zu bringen (Stack Buffer Overflow). Der Angreifer kann dadurch
möglicherweise einen Denial-of-Service (DoS)-Angriff durchführen oder
beliebigen Programmcode zur Ausführung bringen.
CVE-2017-15396: Schwachstelle in V8 ermöglicht Ausführen beliebigen
Programmcodes
In Google Chrome vor der Version 62.0.3202.75 besteht eine nicht näher
beschriebene Schwachstelle in der Komponente V8, die es ermöglicht den
Stack-basierten Pufferspeicher zum Überlauf zu bringen (Stack Buffer
Overflow).
CVE-2017-5132: Schwachstelle in WebAssembly ermöglicht Ausführung beliebigen
Programmcodes
In der Komponente WebAssembly, die in Google Chrome und Chromium vor Version
62.0.3202.62 genutzt wird, existiert eine nicht näher beschriebene
Schwachstelle, die auf der fehlerhaften Manipulation des Stack-basierten
Speichers beruht. Ein entfernter, nicht authentisierter Angreifer kann das
ausnutzen, um den Stack-Speicher zu korrumpieren und in der Folge beliebigen
Programmcode auszuführen.
CVE-2017-5129: Schwachstelle in Webaudio ermöglicht Ausführung beliebigen
Programmcodes
In der Komponente WebAudio, die in Google Chrome und Chromium vor Version
62.0.3202.62 genutzt wird, existiert eine nicht näher beschriebene
Schwachstelle, die auf der Weiterverwendung bereits freigegebenen Speichers
(Use-after-Free) beruht. Ein entfernter, nicht authentisierter Angreifer
kann das ausnutzen, um beliebigen Programmcode auszuführen.
CVE-2017-5128: Schwachstelle in WebGL ermöglicht Ausführung beliebigen
Programmcodes
In der Komponente WebGL, die in Google Chrome und Chromium vor Version
62.0.3202.62 verwendet wird, existiert eine nicht näher spezifizierte
Schwachstelle, die auf der Möglichkeit beruht, einen Pufferüberlauf auf dem
Heap (Heap Overflow) auszulösen. Ein entfernter, nicht authentisierter
Angreifer ist dadurch in der Lage beliebigen Programmcode auszuführen.
CVE-2017-5126 CVE-2017-5127: Schwachstellen in PDFium ermöglichen Ausführung
beliebigen Programmcodes
In der Komponente PDFium, die u.a. in Google Chrome und Chromium vor Version
62.0.3202.62 verwendet wird, existieren zwei nicht näher spezifizierte
Schwachstellen, die auf der Weiterverwendung bereits freigegebenen Speichers
(Use-after-Free) beruhen. Einem entfernten, nicht authentisierten Angreifer
ermöglicht dies, beliebigen Programmcode auszuführen.
CVE-2017-5124: Schwachstelle in Google Chrome und Chromium ermöglicht
Universal-Cross-Site-Scripting (UXSS)-Angriff
In Google Chrome und Chromium vor der Version 62.0.3202.62 existiert eine
nicht näher beschriebene Schwachstelle im Kontext der Nutzung von MIME
Encapsulation of Aggregate HTML Documents (MHTML, Standard zur Speicherung
einer vollständigen HTML-Seite in einer Archivdatei). Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle ausnutzen und einen
Universal-Cross-Site-Scripting (UXSS)-Angriff durchführen.
CVE-2017-15394: Schwachstelle in Extensions UI ermöglicht Darstellen
falscher Informationen
In Extensions UI, welches u.a. von Google Chrome und Chromium vor Version
62.0.3202.62 verwendet wird, existiert eine nicht näher beschriebene
Schwachstelle, die es ermöglicht falsche Uniform Resource Locator (URL’s)
darzustellen (URL Spoofing). Ein entfernter, nicht authentisierter Angreifer
kann gefälschte URL-Informationen darstellen und dies als Ausgangspunkt für
weitere Angriffe verwenden.
CVE-2017-15392: Schwachstelle in Google Chrome und Chromium
PlatformIntegration ermöglicht nicht spezifizierte Angriffe
In Google Chrome und Chromium vor Version 62.0.3202.62 existiert eine nicht
näher spezifizierte Schwachstelle in PlatformIntegration aufgrund eines
fehlerhaften Umgangs mit dem Registry Key. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um nicht
näher spezifizierte Angriffe durchzuführen.
CVE-2017-15388: Schwachstelle in Skia ermöglicht Denial-of-Service-Angriff
In Google Chrome und Chromium vor Version 62.0.3202.62 existiert eine nicht
näher spezifizierte Schwachstelle in der Komponente Skia, durch die
Lesezugriffe außerhalb zulässiger Speichergrenzen möglich sind
(Out-of-Bounds Read). Ein entfernter, nicht authentisierter Angreifer kann
die Schwachstelle ausnutzen und eine Speicherschutzverletzung auslösen,
wodurch die Anwendung abstürzt und ein Denial-of-Service (DoS)-Zustand
eintritt.
CVE-2017-15387: Schwachstelle in Google Chrome und Chromium ermöglicht
Umgehen von Sicherheitsvorkehrungen
In Google Chrome und Chromium vor Version 62.0.3202.62 existiert eine nicht
näher spezifizierte Content-Security-Policy-Bypass-Schwachstelle. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
CVE-2017-15386: Schwachstelle in Blink ermöglicht Darstellen falscher
Informationen
In der Komponente Blink, die u.a. in Google Chrome und Chromium vor Version
62.0.3202.62 verwendet wird, existiert eine nicht näher beschriebene
Schwachstelle, durch die es möglich ist, falsche Informationen in der
Benutzeroberfläche darzustellen (UI Spoofing). Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle ausnutzen, um einen
Benutzer durch die Darstellung falscher Informationen zu täuschen und
darüber möglicherweise weitere Angriffe zu initiieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2152/
Schwachstelle CVE-2017-15386 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15386
Schwachstelle CVE-2017-15387 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15387
Schwachstelle CVE-2017-15388 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15388
Schwachstelle CVE-2017-15390 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15390
Schwachstelle CVE-2017-15392 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15392
Schwachstelle CVE-2017-15394 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15394
Schwachstelle CVE-2017-5124 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5124
Schwachstelle CVE-2017-5126 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5126
Schwachstelle CVE-2017-5127 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5127
Schwachstelle CVE-2017-5128 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5128
Schwachstelle CVE-2017-5129 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5129
Schwachstelle CVE-2017-5132 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5132
Schwachstelle CVE-2017-5133 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5133
Schwachstelle CVE-2017-15396 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15396
Schwachstelle CVE-2017-15398 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-15398
Fedora Security Update EDORA-2017-4d90e9fc97 (Fedora 26,
qt5-qtwebengine-5.9.3-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-4d90e9fc97
Fedora Security Update FEDORA-2017-15b815b9b7 (Fedora 27,
qt5-qtwebengine-5.9.3-1.fc27):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-15b815b9b7
Fedora Security Update FEDORA-2017-9015553e3d (Fedora 25,
qt5-qtwebengine-5.9.3-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-9015553e3d
QtWebEngine Changes 5.9.3:
http://code.qt.io/cgit/qt/qtwebengine.git/tree/dist/changes-5.9.3
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
