Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (01.06.2015):
F5 Networks informiert über die Verwundbarkeit verschiedener BIG-IP
Produkte. Unter anderem sind alle BIG-IP PSM Versionen verwundbar
gegenüber den Schwachstellen CVE-2015-3143 und CVE-2015-3148, während für
die Schwachstellen CVE-2015-3144 und CVE-2015-3145 keine Verwundbarkeit
festgestellt wurde.
Version 2 (29.04.2015):
Für die Distributionen openSUSE 13.1 und openSUSE 13.2 stehen
Sicherheitsupdates zur Verfügung.
Version 1 (23.04.2015):
Neues Advisory
Betroffene Software:
F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4
F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1
cURL <= 7.41.0
libcurl >= 7.10.6
libcurl <= 7.41.0
Betroffene Plattformen:
F5 Networks BIG-IP Systeme
Apple Mac OS X
Unix Unix
Debian Linux 7.8 Wheezy
Debian Linux 8.0 Jessie
GNU/Linux
Microsoft Windows
openSUSE 13.1
openSUSE 13.2
Red Hat Fedora 20
Red Hat Fedora 21
Red Hat Fedora 22
Mehrere Schwachstellen in cURL ermöglichen einem entfernten, nicht
authentifizierten Angreifer Sicherheitsvorkehrungen zu umgehen oder
Denial-of-Service-Angriffe durchzuführen.
Das Projekt cURL hat die Version 7.42.0 von cURL bzw. libcurl
bereitgestellt, um die Schwachstellen zu beheben. Debian stellt
Backport-Sicherheitsupdates der cURL-Pakete in den Versionen
7.26.0-1+wheezy13 für Debian 7.8 (Wheezy) und 7.38.0-4+deb8u1 für Debian 8.0
(Jessie) zur Verfügung. Für Fedora 20, 21 und 22 stehen ebenfalls
Backport-Sicherheitsupdates mit Status 'testing' in den Versionen
curl-7.32.0-20.fc20, curl-7.37.0-14.fc21 und curl-7.40.0-3.fc22 bereit.
Patch:
Debian Security Advisory DSA-3232-1
https://www.debian.org/security/2015/dsa-3232
Patch:
Fedora Security Update FEDORA-2015-6695
https://admin.fedoraproject.org/updates/FEDORA-2015-6695/curl-7.40.0-3.fc22
Patch:
Fedora Security Update FEDORA-2015-6712
https://admin.fedoraproject.org/updates/FEDORA-2015-6712/curl-7.32.0-20.fc20
Patch:
Fedora Security Update FEDORA-2015-6728
https://admin.fedoraproject.org/updates/FEDORA-2015-6728/curl-7.37.0-14.fc21
Patch:
Project cURL Security Advisory, April 22nd 2015
http://curl.haxx.se/docs/adv_20150422A.html
Patch:
Project cURL Security Advisory, April 22nd 2015
http://curl.haxx.se/docs/adv_20150422D.html
Patch:
Project cURL Security Advisory, April 22nd 2015
http://curl.haxx.se/docs/adv_20150422C.html
Patch:
Project cURL Security Advisory, April 22nd 2015
http://curl.haxx.se/docs/adv_20150422B.html
Patch:
openSUSE Security Update openSUSE-SU-2015:0799-1
http://lists.opensuse.org/opensuse-updates/2015-04/msg00057.html
Patch:
F5 Networks Security Advisory sol16708
http://support.f5.com/kb/en-us/solutions/public/16000/700/sol16708.html?ref=rss
CVE-2015-3148: Schwachstelle in cURL ermöglicht das Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in libcurl basiert auf der Wiederverwendung von bereits
zusammen mit NTLM authentifizierten “Negotiate”-Verbindungen, die aber nicht
als solche im Verbindungs-Pool markiert werden, so dass HTTP-Anfragen eines
Benutzers trotz Angabe seiner Zugangsdaten mit der Authentifizierung eines
anderen Benutzers ausgeführt werden. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle ausnutzen, um Sicherheitsvorkehrungen zu
umgehen.
CVE-2015-3145: Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle in der internen Funktion sanitize_cookie_path() von
libcurl überprüft die Eingaben des “path”-Element aus Cookies nicht korrekt,
so dass das Parsen eines einzelnen Anführungszeichens (“) zu einem
Schreibzugriff in einem ungültigen Speicherbereich des Heap führt. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um die auf libcurl basierende Anwendung abstürzen zu lassen
(Denial-of-Service).
CVE-2015-3144: Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle in der internen Funktion fix_hostname() von libcurl
versucht aus einem ungültigen Speicherbereich zu lesen, wenn URLs mit einem
Hostnamen der Länge Null (z.B. “http://:80”) verwendet werden. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um die auf libcurl basierende Anwendung abstürzen zu lassen
(Denial-of-Service).
CVE-2015-3143: Schwachstelle in cURL ermöglicht das Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in libcurl basiert auf der Wiederverwendung von bereits
zusammen mit NTLM authentifizierten “Negotiate”-Verbindungen ohne die Angabe
von Zugangsdaten eines Benutzers, so dass HTTP-Anfragen mit der
Authentifizierung eines anderen Benutzers ausgeführt werden. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
Sicherheitsvorkehrungen zu umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0598/
Debian Security Advisory DSA-3232-1:
https://www.debian.org/security/2015/dsa-3232
Fedora Security Update FEDORA-2015-6695:
https://admin.fedoraproject.org/updates/FEDORA-2015-6695/curl-7.40.0-3.fc22
Fedora Security Update FEDORA-2015-6712:
https://admin.fedoraproject.org/updates/FEDORA-2015-6712/curl-7.32.0-20.fc20
Fedora Security Update FEDORA-2015-6728:
https://admin.fedoraproject.org/updates/FEDORA-2015-6728/curl-7.37.0-14.fc21
Project cURL Security Advisory, April 22nd 2015:
http://curl.haxx.se/docs/adv_20150422A.html
Project cURL Security Advisory, April 22nd 2015:
http://curl.haxx.se/docs/adv_20150422D.html
Project cURL Security Advisory, April 22nd 2015:
http://curl.haxx.se/docs/adv_20150422C.html
Project cURL Security Advisory, April 22nd 2015:
http://curl.haxx.se/docs/adv_20150422B.html
Schwachstelle CVE-2015-3143 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3143
Schwachstelle CVE-2015-3144 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3144
Schwachstelle CVE-2015-3145 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3145
Schwachstelle CVE-2015-3148 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3148
openSUSE Security Update openSUSE-SU-2015:0799-1:
http://lists.opensuse.org/opensuse-updates/2015-04/msg00057.html
F5 Networks Security Advisory sol16708:
http://support.f5.com/kb/en-us/solutions/public/16000/700/sol16708.html?ref=rss
F5 Networks Security Advisory sol16704:
http://support.f5.com/kb/en-us/solutions/public/16000/700/sol16704.html?ref=rss
F5 Networks Security Advisory sol16707:
http://support.f5.com/kb/en-us/solutions/public/16000/700/sol16707.html?ref=rss
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
