Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 4 (28.01.2015):
Für Fedora 20 steht ein neues Sicherheitsupdate in Form des aktualisierten
Paketes qpid-cpp-0.30-7.fc20 (im Status “testing”) bereit. Das vorherige
Update FEDORA-2015-0753 wurde in den Status ‘obsolete’ gesetzt.
Version 3 (27.01.2015):
Für Fedora EPEL 7 steht ein neues Sicherheitsupdate in Form des
aktualisierten Paketes qpid-cpp-0.30-7.el7 (im Status “testing”) bereit.
Das vorherige Update FEDORA-EPEL-2015-0343 wurde in den Status ‘obsolete’
gesetzt.
Version 2 (26.01.2015):
Für Fedora 21 wird ein neues Sicherheitsupdate in Form des aktualisierten
Paketes qpid-cpp-0.30-7.fc21 (im Status “testing”) bereitgestellt, wodurch
das vorherige (FEDORA-2015-0831) obsolet wird.
Version 1 (19.01.2015):
Neues Advisory
Betroffene Software:
Qpid <= 0.30 Betroffene Plattformen: Red Hat Fedora 20 Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in Qpid, die unter der Schwachstellen-ID CVE-2015-0203 zusammengefasst sind, ermöglichen einem entfernten, authentifizierten Angreifer einen Denial-of-Service-Angriff durchzuführen. Patch: Apache Security Patch QPID-6310 https://issues.apache.org/jira/browse/QPID-6310
Patch:
Fedora Security Update FEDORA-2015-1129
https://admin.fedoraproject.org/updates/FEDORA-2015-1129/qpid-cpp-0.30-7.fc21
Patch:
Fedora Security Update FEDORA-EPEL-2015-0437
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-0437/qpid-cpp-0.30-7.el7
Patch:
Fedora Security Update FEDORA-2015-1294
https://admin.fedoraproject.org/updates/FEDORA-2015-1294/qpid-cpp-0.30-7.fc20
CVE-2015-0203: Schwachstellen in Qpid ermöglichen Denial-of-Service-Angriff
Drei unterschiedliche Schwachstellen in der AMQP 0-10
Protokollimplementierung von Qpid führen zu einem Absturz des Dienstes.
(1) Das AMQP 0-10 Protokoll definiert ein Sequenz-Set, welches ID-Bereiche
enthält. Durch das Senden eines Sequenz-Sets mit einem ungültigen Bereich,
bei dem der Startwert des ID-Bereichs hinter dem Endwert des ID-Bereichs
liegt, kann ein Absturz provoziert werden.
(2) Das AMQP 0-10 Protokoll definiert Header- und Body-Segmente, die
bestimmten Kommandos folgend. Das einzige Kommando für das solche Segmente
erwartete werden, ist das Message-Transfer-Kommando. Wenn in anderen
Kommandos Header- oder Body-Segmente mitgesendet werden, kommt es zu einem
Segmentation Fault und Systemabsturz.
(3) Das AMQP 0-10 Protokoll definiert ein Sitzungspause-Kommando, das vom
Qpid nicht implementiert wird und zu einem Zusicherungsfehler (assertion
error) und einem Programmabbruch führt, wenn es versendet wird, bevor eine
Sitzung aufgebaut ist.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0066/
Schwachstelle CVE-2015-0203 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0203
Apache Security Patch QPID-6310:
https://issues.apache.org/jira/browse/QPID-6310
Fedora Security Update FEDORA-2015-1129:
https://admin.fedoraproject.org/updates/FEDORA-2015-1129/qpid-cpp-0.30-7.fc21
Fedora Security Update FEDORA-EPEL-2015-0437:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-0437/qpid-cpp-0.30-7.el7
Fedora Security Update FEDORA-2015-1294:
https://admin.fedoraproject.org/updates/FEDORA-2015-1294/qpid-cpp-0.30-7.fc20
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
