Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (06.07.2015):
Für SUSE Linux Enterprise 11 SP3 Software Development Kit, Server, Server
für VMware und Desktop sowie Server 11 SP2 LTSS stehen Sicherheitsupdates
bereit.
Version 5 (03.07.2015):
Für SUSE Linux Enterprise Server 11 SP1 LTSS stehen jetzt
Sicherheitsupdates als Backport auf OpenSSL 0.9.8j zur Verfügung.
Version 4 (03.07.2015):
SUSE stellt für SUSE Studio Onsite 1.3 und SUSE Manager 1.7 for SLE 11 SP2
Sicherheitsupdates bereit.
Version 3 (26.06.2015):
SUSE stellt für das SUSE Linux Enterprise Module for Legacy Software 12
und SUSE Linux Enterprise Desktop 12 Sicherheitsupdates für die 0.9.8j
OpenSSL-Version bereit.
Version 2 (26.06.2015):
SUSE stellt für die Produkte SUSE Linux Enterprise Software Development
Kit 12, Server 12 und Desktop 12 Sicherheitsupdates bereit.
Version 1 (25.06.2015):
Neues Advisory
Betroffene Software:
OpenSSL Project OpenSSL <= 0.9.8K OpenSSL Project OpenSSL <= 1.0.1k Betroffene Plattformen: SUSE Linux Enterprise Module for Legacy Software 12 SUSE Software Development Kit 11 SP3 Enterprise SUSE Software Development Kit 12 Enterprise SUSE Manager 1.7 for SLE 11 SP2 SUSE Studio Onsite 1.3 openSUSE 13.1 openSUSE 13.2 SUSE Linux Enterprise Desktop 11 SP3 SUSE Linux Enterprise Desktop 12 SUSE Linux Enterprise Server 11 SP1 LTSS SUSE Linux Enterprise Server 11 SP2 LTSS SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 VMware SUSE Linux Enterprise Server 12 Mehrere Schwachstellen in OpenSSL ermöglichen einem entfernten, nicht authentifizierten Angreifer einen Denial-of-Service-Angriff durchzuführen oder das Umgehen von Sicherheitsvorkehrungen. Für die Distributionen openSUSE 13.1 und 13.2 stehen Sicherheitsupdates als Backport auf Version 1.0.1k zur Verfügung. Patch: openSUSE Security Update openSUSE-SU-2015:1139-1 http://lists.opensuse.org/opensuse-updates/2015-06/msg00055.html
Patch:
SUSE Security Update SUSE-SU-2015:1143-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151143-1.html
Patch:
SUSE Security Update SUSE-SU-2015:1150-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151150-1.html
Patch:
SUSE Security Update SUSE-SU-2015:1182-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151182-1.html
Patch:
SUSE Security Update SUSE-SU-2015:1184-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151184-1.html
Patch:
SUSE Security Update SUSE-SU-2015:1182-2
https://www.suse.com/support/update/announcement/2015/suse-su-20151182-2.html
Patch:
SUSE Security Update SUSE-SU-2015:1184-2
https://www.suse.com/support/update/announcement/2015/suse-su-20151184-2.html
CVE-2015-3216: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle beim Sperren (locking) in der Funktion
ssleay_rand_bytes() führt bei der Verwendung einer Multi-Thread-Anwendung,
zu einem Lesen außerhalb der Speichergrenzen und in Folge dessen zu einem
Absturz. Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2015-1792: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle in der Überprüfung von signierten Nachrichten führt dazu,
dass der CMS Code in eine Endlosschleife eintritt, wenn die OID der
verwendeten Hash-Funktion unbekannt ist. Ein entfernter, nicht
authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.
CVE-2015-1791: Schwachstelle in NewSessionTicket ermöglicht
Denial-of-Service-Angriff
Beim Empfang mehrerer NewSessionTicket-Nachtrichten von einem Client mit
mehreren gleichzeitigen Prozessen (“multi-threaded”) kommt es zu einer
Wettlaufsituation bei der Wiederverwendung von vorherigen Tickets. Dadurch
kann es zu einer doppelten Freigabe der Ticketdaten kommen. Ein entfernter,
nicht authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.
CVE-2015-1790: Schwachstelle im PKCS7-Parsing Code ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in dem Programmcode zum Parsen von PKCS#7-Dateien
behandelt das Fehlen eines inneren EncryptedContent nicht korrekt. Dadurch
kommt es durch eine Null-Zeiger-Dereferenzierung zu einem Programmabsturz.
Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2015-1789: Schwachstelle in X509_cmp_time ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in der Funktion X509_cmp_time führt dazu, dass die Länge
der ASN1_TIME Zeichenkette in Zertifikaten und Sperrlisten nicht fehlerfrei
überprüft wird. Dadurch kommt es zu einem Lesen außerhalb der vorgesehenen
Grenzen und in der Folge zu einem Speicherzugriffsfehler. Ein entfernter,
nicht authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.
CVE-2015-1788: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle in der Verarbeitung von ECParameters führt zu einer
Endlosschleife, wenn für die Auswahl der verwendeten elliptischen Kurve ein
manipuliertes “binary polynomial”-Feld verwendet wird. Ein entfernter, nicht
authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.
CVE-2015-4000: TLS: Eine Schwachstelle ermöglicht Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle im Handshake des TLS-Protokolls Version 1.2 und früher
führt dazu, dass bei der Aushandlung der zu verwendenden
Diffie-Hellman-Verschlüsselung (DHE) ein Teil der Kommunikation nicht
signiert stattfindet. Der Client sendet zuerst eine Liste mit Vorschlägen
von Algorithmen, die für die Verschlüsselung verwendet werden können, an den
Server und dieser wählt einen Algorithmus aus der Liste aus. Die Verbindung
ist zu dem Zeitpunkt, zu dem der Client die Liste sendet, noch nicht
signiert. Durch einen Man-in-the-Middle-Angriff kann die Liste so verändert
werden, dass aus einem “ClientHello DHE” ein “ClientHello DHE_EXPORT” wird
und der Server eine DHE 512 Bit-Gruppe auswählt. Der Angreifer modifiziert
die Serverantwort entsprechend von “ServerHello DHE_EXPORT” zu “ServerHello
DHE”. Der Client bietet eine unsichere 512-Bit Gruppe im normalen Modus
nicht von sich aus an, akzeptiert diese aber, wenn sie vom Server
vorgeschlagen wird. Voraussetzung ist, dass auf dem Server der EXPORT-Modus
(DHE_EXPORT) aktiviert ist. Viele Server im Internet unterstützen für den
EXPORT-Modus die gleichen Gruppen, wodurch es möglich wird, einen Großteil
der für den Angriff notwendigen Berechnungen vorab zu erledigen.
Die Schwachstelle ist unter dem Namen Logjam bekannt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0925/
Schwachstelle CVE-2015-4000 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4000
Schwachstelle CVE-2015-1788 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1788
Schwachstelle CVE-2015-1789 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1789
Schwachstelle CVE-2015-1790 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1790
Schwachstelle CVE-2015-1791 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1791
Schwachstelle CVE-2015-1792 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1792
Schwachstelle CVE-2015-3216 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3216
openSUSE Security Update openSUSE-SU-2015:1139-1:
http://lists.opensuse.org/opensuse-updates/2015-06/msg00055.html
SUSE Security Update SUSE-SU-2015:1143-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151143-1.html
SUSE Security Update SUSE-SU-2015:1150-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151150-1.html
SUSE Security Update SUSE-SU-2015:1182-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151182-1.html
SUSE Security Update SUSE-SU-2015:1184-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151184-1.html
SUSE Security Update SUSE-SU-2015:1182-2:
https://www.suse.com/support/update/announcement/2015/suse-su-20151182-2.html
SUSE Security Update SUSE-SU-2015:1184-2:
https://www.suse.com/support/update/announcement/2015/suse-su-20151184-2.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
