Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (26.08.2014):
Für SUSE Linux Enterprise 11 SP3 stehen Sicherheitsupdates für Desktop,
Server, Server für VMware und Software Development Kit zur Verfügung,
welche die Schwachstelle CVE-2014-4345 allerdings nicht adressieren.
Version 1 (11.08.2014):
Neues Advisory
Betroffene Software:
MIT Kerberos 5
Betroffene Plattformen:
SUSE Software Development Kit 11 SP3 Enterprise
Debian Linux 7.6 Wheezy
openSUSE 12.3
openSUSE 13.1
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 VMware
Durch mehrere Schwachstellen in Kerberos 5 ist es einem entfernten oder im
benachbarten Netz befindlichen, nicht authentisierten Angreifer möglich
unterschiedliche Formen von Denial-of-Service-Angriffen durchzuführen und
beliebigen Programmcode zur Ausführung zu bringen.
SuSE stellt Sicherheitsupdates für Kerberos 5 zur Verfügung, die allerdings
die Schwachstelle CVE-2014-4345 nicht umfassen. Debian Wheezy behebt alle
Schwachstellen.
Patch:
Debian Security Advisory DSA-3000-1
https://www.debian.org/security/2014/dsa-3000
Patch:
SUSE Security Update openSUSE-SU-2014:0977-1
http://lists.opensuse.org/opensuse-updates/2014-08/msg00008.html
Patch:
SUSE Security Update: SUSE-SU-2014:0989-1
https://www.suse.com/support/update/announcement/2014/suse-su-20140989-1.html
CVE-2014-4344: Schwachstelle in Kerberos ermöglicht Denial-of-Service
Es existiert eine Schwachstelle im SPNEGO-Protokoll von MIT-Kerberos. Ein
entfernter, nicht authentisierter Angreifer kann den Server mit einer
Null-Pointer-Dereferenzierung zum Absturz bringen, indem im Verlauf einer
Authentisierung ein leeres Token an den Server sendet.
CVE-2014-4343: Schwachstelle in Kerberos ermöglicht Denial-of-Service
Kerberos enthält einen “double-free” Fehler im SPNEGO-Protokoll. Ein
entfernter, nicht authentisierter Angreifer kann MIT-Kerberos als Quelle von
Paketen der GSSAPI-Schnittstelle vortäuschen und diese Schwachstelle so zu
einem Denial-of-Service-Angriff gegen Kerberos-Clients ausnutzen oder
eventuell beliebigen Programmcode zur Ausführung bringen.
CVE-2014-4345: Pufferüberlauf-Schwachstelle in “kadmind” mit LDAP-Backend
Eine Schwachstelle in MIT krb5 erlaubt, falls “kadmind” konfiguriert ist,
LDAP für die KDC-Datenbank zu verwenden, außerhalb der Speicherbegrenzungen
zu schreiben (“out-of-bounds write”). Es handelt sich hierbei nicht um eine
Schwachstelle des Protokolls selbst. Ferner ist die Verwendung von LDAP für
die KDC-Datenbank keine Default-Konfiguration. Ein entfernter,
authentisierter Benutzer, als Angreifer, kann diese Schwachstelle ausnutzen,
um, durch das Schreiben über die Speicherbegrenzung hinaus, einen
Pufferüberlauf zu verursachen. In manchen Fällen ermöglicht dies dem
Angreifer, beliebigen Programmcode zur Ausführung zu bringen oder die
Anwendung zum Absturz zu bringen (Denial-of-Service).
CVE-2014-4342: Schwachstelle in Kerberos ermöglicht Denial-of-Service
Der Umgang mit RFC 1964 Tokens im MIT Kerberos 5 ist fehlerhaft. Ein nicht
authentifizierter Angreifer im benachbarten Netz kann per
Man-in-the-Middle-Angriff (MITM) Pakete in eine GSS-API-Sitzung einer
Anwendung injizieren und die Anwendung zum Absturz bringen.
CVE-2014-4341: Schwachstelle in Kerberos ermöglicht Denial-of-Service
Der Umgang mit RFC 1964 Tokens im MIT Kerberos 5 ist fehlerhaft. Ein im
benachbarten Netzwerk befindlicher, nicht authentifizierter Angreifer kann
per Man-in-the-Middle-Angriff (MITM) Pakete in eine GSS-API-Sitzung einer
Anwendung injizieren und die Anwendung zum Absturz bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1036/
Schwachstelle CVE-2014-4341 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4341
Schwachstelle CVE-2014-4342 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4342
Schwachstelle CVE-2014-4345 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4345
Debian Security Advisory DSA-3000-1:
https://www.debian.org/security/2014/dsa-3000
SUSE Security Update openSUSE-SU-2014:0977-1:
http://lists.opensuse.org/opensuse-updates/2014-08/msg00008.html
Schwachstelle CVE-2014-4343 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4343
Schwachstelle CVE-2014-4344 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4344
SUSE Security Update: SUSE-SU-2014:0989-1:
https://www.suse.com/support/update/announcement/2014/suse-su-20140989-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
