UPDATE: DFN-CERT-2014-0984 Tor-Projekt: Schwachstelle in Tor-Server ermöglicht Aufhebung der Anonymität [Linux][Debian][Fedora][SuSE][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 3 (11.08.2014):
Für openSUSE 12.3 und 13.1 stehen Sicherheitsupdates bereit.
Version 2 (01.08.2014):
Für Fedora 19, 20 und EPEL 6 stehen nun Updates zur Verfügung. Auch Debian
bietet Patches für die Distributionen Wheezy und Jessy an.
Version 1 (31.07.2014):
Neues Advisory

Betroffene Software:

Tor Project < 0.2.4.23 Tor Project < 0.2.5.6 Alpha Betroffene Plattformen: Apple Mac OS Debian Linux 7.6 Wheezy Debian Linux 8.0 Jessie GNU/Linux Microsoft Windows openSUSE 12.3 openSUSE 13.1 Red Hat Fedora 19 Red Hat Fedora 20 Extra Packages for Red Hat Enterprise Linux 6 Ein entfernter, nicht authentisierter Angreifer kann, sofern er mindestens einen Eintritts- und einen Austrittsknoten im Tor-Netzwerk kontrolliert, die Schwachstelle zur Aufhebung der Anonymität von Teilnehmern ausnutzen. Patch: Tor-Projekt Security Advisory https://blog.torproject.org/blog/tor-security-advisory-relay-early-traffic-confirmation-attack

Patch:

Debian Security Advisory DSA-2993-1

https://www.debian.org/security/2014/dsa-2993

Patch:

Fedora EPEL Security Update FEDORA-EPEL-2014-2088

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2088/tor-0.2.4.23-1.el6

Patch:

Fedora Security Update FEDORA-2014-9073

https://admin.fedoraproject.org/updates/FEDORA-2014-9073/tor-0.2.4.23-1.fc19

Patch:

Fedora Security Update FEDORA-2014-9082

https://admin.fedoraproject.org/updates/FEDORA-2014-9082/tor-0.2.4.23-1.fc20

Patch:

openSUSE Security Update openSUSE-SU-2014:0975-1

http://lists.opensuse.org/opensuse-updates/2014-08/msg00006.html

CVE-2014-5117: Schwachstelle in Tor ermöglicht De-Anonymisierung

Es besteht eine Schwachstelle im Protokoll Header der TOR-Relayserver
Software vor Version 0.2.4.23 sowie 0.2.5.6-Alpha, die es ermöglicht den
Header mit einer Information zu erweitern. Ein entfernter, nicht
authentisierter Angreifer kann, sobald er mindestens einen Eintritts- wie
einen Austrittsknoten im Tor-Netzwerk kontrolliert, diese Schwachstelle zur
Aufhebung der Anonymität von Teilnehmern ausnutzen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0984/

Tor-Projekt Security Advisory :
https://blog.torproject.org/blog/tor-security-advisory-relay-early-traffic-confirmation-attack

Heise Meldung zu Schwachstelle CVE-2014-5177:
http://www.heise.de/security/meldung/Erfolgreicher-Angriff-auf-Tor-Anonymisierung-2278774.html

Schwachstelle CVE-2014-5117 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5117

Debian Security Advisory DSA-2993-1:
https://www.debian.org/security/2014/dsa-2993

Fedora EPEL Security Update FEDORA-EPEL-2014-2088:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2088/tor-0.2.4.23-1.el6

Fedora Security Update FEDORA-2014-9073:
https://admin.fedoraproject.org/updates/FEDORA-2014-9073/tor-0.2.4.23-1.fc19

Fedora Security Update FEDORA-2014-9082:
https://admin.fedoraproject.org/updates/FEDORA-2014-9082/tor-0.2.4.23-1.fc20

openSUSE Security Update openSUSE-SU-2014:0975-1:
http://lists.opensuse.org/opensuse-updates/2014-08/msg00006.html