UPDATE: DFN-CERT-2013-1684 pyOpenSSL: Schwachstelle ermöglicht das Ausspähen von Informationen [Linux][Debian][Fedora][RedHat][Unix]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (26.09.2013):
UBUNTU und Debian haben die Schwachstelle ebenfalls geschlossen.
Version 1 (23.09.2013):
Neues Advisory

Betroffene Software:

Canonical Ubuntu Linux <= 10.04 Lts Canonical Ubuntu Linux <= 12.04 Lts Canonical Ubuntu Linux <= 12.10 Canonical Ubuntu Linux <= 13.04 Debian Linux Red Hat Fedora <= 18 Red Hat Fedora <= 19 Red Hat Fedora <= 20 Betroffene Plattformen: Debian Fedora Linux RedHat Ubuntu UNIX Eine Schwachstelle in pyOpenSSL ermöglicht einem entfernten, nicht authentifizierten Angreifer einen Man-in-the-Middle Angriff durchzuführen. Des weiteren existiert ein Speicherleck, dass die Verfügbarkeit einschränkt. Patch: Fedora Update FEDORA-2013-15843 https://admin.fedoraproject.org/updates/FEDORA-2013-15843

Patch:

Fedora Update FEDORA-2013-15881

https://admin.fedoraproject.org/updates/FEDORA-2013-15881

Patch:

Fedora Update FEDORA-2013-15925

https://admin.fedoraproject.org/updates/FEDORA-2013-15925

Patch:

Debian Security Advisory DSA-2763

http://www.debian.org/security/2013/dsa-2763

Patch:

Ubuntu Security Notice USN-1965-1

http://www.ubuntu.com/usn/usn-1965-1/

CVE-2013-4314: Schwachstelle in pyOpenSSL

In pyOpenSSL werden NULL Zeichen im subjectAltName nicht korrekt behandelt.
Des weiteren wurde ein Speicherleck in der Funktion X509.get_extension
behoben. Ein entfernter, nicht authentifizierter Angreifer kann durch ein
präpariertes X509 Zertifikat die Identität einer Webseite übernehmen und
einen Man-in-the-Middle Angriff durchführen.

Vor der Zuweisung der CVE-Nummer wurde die Schwachstelle als Redhat Bug ID
1004446 bezeichnet.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1684/

Herstelleradvisory Redhat Bug-ID: #1004446:
https://bugzilla.redhat.com/show_bug.cgi?id=1004446

Fedora Update FEDORA-2013-15843:
https://admin.fedoraproject.org/updates/FEDORA-2013-15843

Fedora Update FEDORA-2013-15881:
https://admin.fedoraproject.org/updates/FEDORA-2013-15881

Fedora Update FEDORA-2013-15925:
https://admin.fedoraproject.org/updates/FEDORA-2013-15925

Schwachstelle CVE-2013-4314 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4314

Debian Security Advisory DSA-2763:
http://www.debian.org/security/2013/dsa-2763

Ubuntu Security Notice USN-1965-1:
http://www.ubuntu.com/usn/usn-1965-1/