Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (21.07.2015):
Für HP-UX B.11.31 stehen Sicherheitsupdates von BIND 9.7.3 und 9.9.4 zur
Verfügung.
Version 2 (08.07.2015):
Für SUSE Linux Enterprise 11 SP3 stehen für Software Development Kit,
Server, Server für VMware und Desktop Sicherheitsupdates zur Verfügung.
Version 1 (08.07.2015):
Neues Advisory
Betroffene Software:
ISC BIND
Betroffene Plattformen:
SUSE Linux Enterprise Software Development Kit 11 SP3
SUSE Linux Enterprise Software Development Kit 12
HP-UX family of operating systems B.11.31
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 VMware
SUSE Linux Enterprise Server 12
Zwei Schwachstellen in BIND ermöglichen einem entfernten, nicht
authentisierten Angreifer das Bewirken eine Denial-of-Service-Zustandes.
SUSE stellt für SUSE Linux Enterprise Software Development Kit 12, Server 12
und Desktop 12 Sicherheitsupdates über Backports bereit.
Patch:
SUSE Security Update SUSE-SU-2015:1204-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151204-1.html
Patch:
SUSE Security Update SUSE-SU-2015:1205-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151205-1.html
Patch:
HP Security Bulletin HPSBUX03379 SSRT101976
https://h20564.www2.hp.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c04745746
CVE-2015-4620: Denial-of-Service-Schwachstelle in BIND
Eine Schwachstelle in BIND ermöglicht einem entfernten, nicht
authentifizierten Angreifer Denial-of-Service-Zustände auszulösen. BIND
verarbeitet bestimmte DNS-Zonendaten inkorrekt, wenn DNSSEC-Validierung für
BIND vorkonfiguriert wurde. Ein Angreifer kann mit manipulierten Zonendaten
in einer rekursiven DNS-Anfrage BIND zum Absturz bringen, was zu einem
Denial-of-Service-Zustand führt.
CVE-2015-1349: Schwachstelle in DNSSEC-Komponente von BIND ermöglicht
Denial-of-Service-Angriff
Falls BIND Server DNSSEC-Validierung und “managed-keys” benutzen, kann der
Daemon abstürzen oder sich durch einen Assertion-Fehler beenden, wenn in
einem bestimmten Szenario kein benutzbarer Schlüssel vorhanden ist. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1004/
Schwachstelle CVE-2015-1349 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1349
SUSE Security Update SUSE-SU-2015:1204-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151204-1.html
SUSE Security Update SUSE-SU-2015:1205-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151205-1.html
Schwachstelle CVE-2015-4620 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4620
HP Security Bulletin HPSBUX03379 SSRT101976:
https://h20564.www2.hp.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c04745746
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
