—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.

CVE-2009-0129 – Schwachstelle im Perl OpenSSL-DSA Interface

Das OpenSSL-DSA Interface fuer Perl enthaelt eine Schwachstelle
aufgrund derer gefaelschte Zertifikate durch die Bibliothek nicht als
ungueltig erkannt werden. Grund hierfuer sind Fehler bei der
Auswertung des Rueckgabewertes der Funktionen ‘DSA_verify()’ und
‘DSA_do_verify()’.

Ein Angreifer kann diese Schwachstelle ausnutzen, um Man-in-the-middle
Attacken durchzufuehren bzw. eine vertrauenswuerdige Identitaet, z.B.
einer Webseite, vorzutaeuschen und dadurch an sensitive Informationen
gelangen.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket perl-Crypt-OpenSSL-DSA

Fedora 9

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

Hersteller Advisory:
https://www.redhat.com/archives/fedora-package-announce/

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Michael Groening, DFN-CERT
– —

Michael Groening (Incident Response Team), +49 40 808077-555

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen https://www.cert.dfn.de/autowarn

– ——————————————————————————–
Fedora Update Notification
FEDORA-2009-1914
2009-02-19 13:34:02
– ——————————————————————————–

Name : perl-Crypt-OpenSSL-DSA
Product : Fedora 9
Version : 0.13
Release : 9.fc9
URL : http://search.cpan.org/dist/Crypt-OpenSSL-DSA/
Summary : Perl interface to OpenSSL for DSA
Description :
Crypt::OpenSSL::DSA – Digital Signature Algorithm using OpenSSL

– ——————————————————————————–
Update Information:

Fixes CVE-2009-0129: The Crypto::OpenSSL::DSA module now croaks upon error
rather than returning a -1 to ensure programmers are not caught by surprise
which only checking for non-zero results.
– ——————————————————————————–
ChangeLog:

* Wed Feb 18 2009 Wes Hardaker – 0.13-9
– – Version bump to solve build issues
* Wed Feb 18 2009 Wes Hardaker – 0.13-8
– – Fix CVE-2009-0129 and have do_verify croak on fatal error
– ——————————————————————————–
References:

[ 1 ] Bug #486012 – CVE-2009-0129 perl-Crypt-OpenSSL-DSA: do_verify() doesn’t fail on errors in OpenSSL DSA_do_verify()
https://bugzilla.redhat.com/show_bug.cgi?id=486012
– ——————————————————————————–

This update can be installed with the “yum” update program. Use
su -c ‘yum update perl-Crypt-OpenSSL-DSA’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.

All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
http://fedoraproject.org/keys
– ——————————————————————————–

—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)

iD8DBQFJnX0Jk0kIxZMiiQ8RAs0mAJwMlDSTh8CQ7q6E7ARDEGKfRlU8UQCfQ6ne
dvvZ8bkD1D3tW1X+j/3OWM8=
=QFZK
—–END PGP SIGNATURE—–