Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 4 (12.12.2014):
Für SUSE Linux Enterprise Software Development Kit 11 SP3, SUSE Linux
Enterprise Server 11 SP3 for VMware, Server 11 SP3 und SUSE Linux
Enterprise Desktop 11 SP3 stehen Sicherheitsupdates zur Verfügung.
Version 3 (17.11.2014):
Für die Distributionen Red Hat Enterprise Linux Desktop (v. 7), Red Hat
Enterprise Linux HPC Node (v. 7), Red Hat Enterprise Linux Server (v. 7)
und Red Hat Enterprise Linux Workstation (v. 7) stehen Sicherheitsupdates
zur Verfügung.
Version 2 (03.11.2014):
Für Fedora 19 und Fedora 20 stehen Sicherheitsupdates zur Verfügung.
Version 1 (28.10.2014):
Neues Advisory
Betroffene Software:
Shim < 0.8-1 Betroffene Plattformen: SUSE Software Development Kit 11 SP3 Enterprise SUSE Linux Enterprise Desktop 11 SP3 SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 VMware Red Hat Enterprise Linux Desktop 7 Red Hat Enterprise Linux HPC Node 7 Red Hat Enterprise Linux Server 7 Red Hat Enterprise Linux Workstation 7 Red Hat Fedora 19 Red Hat Fedora 20 Red Hat Fedora 21 Mehrere Schwachstellen in Shim ermöglichen einem entfernten, nicht authentisierten Angreifer beliebige Befehle zur Ausführung oder die Anwendung zum Stillstand zu bringen. Patch: Fedora Security Update FEDORA-2014-13581 https://admin.fedoraproject.org/updates/FEDORA-2014-13581/shim-0.8-1.fc22,shim-signed-0.8-1.fc22,mokutil-0.2.0-1.fc21
Patch:
Fedora Security Update FEDORA-2014-14058
https://admin.fedoraproject.org/updates/FEDORA-2014-14058/mokutil-0.2.0-1.fc20,shim-signed-0.8-3
Patch:
Fedora Security Update FEDORA-2014-14059
https://admin.fedoraproject.org/updates/FEDORA-2014-14059/mokutil-0.2.0-1.fc19,shim-signed-0.8-2
Patch:
Red Hat Security Advisory RHSA-2014:1801
http://rhn.redhat.com/errata/RHSA-2014-1801.html
Patch:
openSUSE Security Update SUSE-SU-2014:1619-1
http://lists.opensuse.org/opensuse-security-announce/2014-12/msg00011.html
CVE-2014-3677: Schwachstelle in Shim bei der Verarbeitung von MOKs (Machine
Owner Keys)
In Shim werden MOKs (Machine Owner Keys) in unsicherer Weise verarbeitet und
es kann eine Speicherkorruption ausgelöst und in der Folge beliebige Befehle
zur Ausführung gebracht werden. Die Schwachstelle kann von einem entfernten,
nicht authentisierten Angreifer ausgenutzt werden.
CVE-2014-3676: Schwachstelle in Shim bei der Verarbeitung von IPv6-Adressen
In Shim werden im Zusammenhang mit der “tftp:// DHCPv6 Boot-Option”
IPv6-Adressen nicht hinreichend geprüft und ein Heap-basierter
Pufferspeicherüberlauf kann ausgelöst werden. Ein entfernter, nicht
authentisierter Angreifer kann darüber beliebige Befehle zur Ausführung
bringen.
CVE-2014-3675: Schwachstelle in Shim bei der Verarbeitung von DHCPv6 Paketen
In Shim werden DHCPv6 Pakete in unsicherer Weise behandelt und ein Zugriff
außerhalb vorgesehener Speicherbereiche kann ausgelöst werden. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um die Anwendung zum Stillstand zu bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1413/
Schwachstelle CVE-2014-3675 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3675
Schwachstelle CVE-2014-3676 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3676
Schwachstelle CVE-2014-3677 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3677
Fedora Security Update FEDORA-2014-13581:
https://admin.fedoraproject.org/updates/FEDORA-2014-13581/shim-0.8-1.fc22,shim-signed-0.8-1.fc22,mokutil-0.2.0-1.fc21
Fedora Security Update FEDORA-2014-14058:
https://admin.fedoraproject.org/updates/FEDORA-2014-14058/mokutil-0.2.0-1.fc20,shim-signed-0.8-3
Fedora Security Update FEDORA-2014-14059:
https://admin.fedoraproject.org/updates/FEDORA-2014-14059/mokutil-0.2.0-1.fc19,shim-signed-0.8-2
Red Hat Security Advisory RHSA-2014:1801:
http://rhn.redhat.com/errata/RHSA-2014-1801.html
openSUSE Security Update SUSE-SU-2014:1619-1:
http://lists.opensuse.org/opensuse-security-announce/2014-12/msg00011.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
