Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (10.09.2015):
Das zuvor für Fedora 22 veröffentlichte Sicherheitsupdate
FEDORA-2015-14761 wurde in den Status ‘obsolete’ transferiert. Es steht
statt dessen ein neues Sicherheitsupdate in Form des Paketes
‘qemu-2.3.1-3.fc22’ im Status ‘testing’ bereit.
Version 1 (04.09.2015):
Neues Advisory
Betroffene Software:
QEMU
Betroffene Plattformen:
Red Hat Fedora 21
Red Hat Fedora 22
Red Hat Fedora 23
Durch Ausnutzen einer Schwachstelle kann ein einfach authentifizierter, sich
im benachbarten Netzwerk befindlicher Angreifer einen Denial-of-Service
(DoS)-Angriff durchführen oder beliebigen Programmcode mit den Rechten des
Dienstes ausführen.
Für die Distributionen Fedora 21, 22 und 23 stehen Sicherheitsupdates in
Form der Pakete qemu-2.1.3-10.fc21, qemu-2.3.1-2.fc22, bzw.
qemu-2.4.0-2.fc23 im Status ‘testing’ zur Verfügung, um diese Schwachstelle
zu schließen.
Patch:
Fedora Security Update FEDORA-2015-14783
https://bodhi.fedoraproject.org/updates/qemu-2.4.0-2.fc23
Patch:
Fedora Security Update FEDORA-2015-14785
https://bodhi.fedoraproject.org/updates/qemu-2.1.3-10.fc21
Patch:
Fedora Security Update FEDORA-2015-15364
https://bodhi.fedoraproject.org/updates/FEDORA-2015-15364
CVE-2015-5225: Schwachstelle in QEMU ermöglicht Programmcodeausführung
Eine Schwachstelle in QEMU basiert auf dem fehlerhaften Speichermanagement
im VNC Display Treiber. Ein einfach authentisierter Benutzer im benachbarten
Netzwerk, als Angreifer, kann diese Schwachstelle ausnutzen, um einen
Denial-of-Service-Zustand zu bewirken oder beliebigen Programmcode auf dem
Host mit den Rechten des Benutzers, der den QEMU Prozess betreibt, zur
Ausführung zu bringen. In der Default-Installation, wenn QEMU mit libvirt
läuft, wird ein Angreifer über das libvirt AppArmor Profil isoliert.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1365/
Schwachstelle CVE-2015-5225 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5225
Fedora Security Update FEDORA-2015-14783:
https://bodhi.fedoraproject.org/updates/qemu-2.4.0-2.fc23
Fedora Security Update FEDORA-2015-14785:
https://bodhi.fedoraproject.org/updates/qemu-2.1.3-10.fc21
Fedora Security Update FEDORA-2015-15364:
https://bodhi.fedoraproject.org/updates/FEDORA-2015-15364
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
