Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 5 (03.07.2017):
Für die SUSE Linux Enterprise Server Client Tools (11 SP3, 11 SP4) stehen
Sicherheitsupdates zur Behebung der Schwachstelle CVE-2013-7459 bereit.
Version 4 (20.02.2017):
Canonical informiert mittels der Ubuntu Security Notice USN-3199-2
darüber, dass die zuvor mit der Meldung USN-3199-1 veröffentlichte
Korrektur des Python Cryptography Toolkits in mehreren Systemen, die das
Toolkit nutzen und auf dem Verhalten, das zur Behebung der Schwachstelle
geändert wurde, aufbauen, zu Problem geführt hat. Canonical behält den Fix
für die Schwachstelle bei, ändert mit diesem Sicherheitsupdate das
Verhalten aber derart, dass statt einer Exception nur eine Warnung erzeugt
wird. Canonical und kündigt an, dass in zukünftigen Versionen das Werfen
der Exception aber wieder eingeführt wird, weshalb die Karenzzeit für
etwaig erforderliche Code-Anpassungen genutzt werden sollte.
Version 3 (17.02.2017):
Canonical stellt für die Distributionen Ubuntu 16.10, Ubuntu 16.04 LTS und
Ubuntu 14.04 LTS Sicherheitsupdates zur Behebung der Schwachstelle bereit.
Version 2 (19.01.2017):
Für Fedora 24 und 25 sowie Fedora EPEL 5 und 7 stehen Sicherheitsupdates
in Form der Pakete ‘python-crypto-2.0.1-6.el5’,
‘python-crypto-2.6.1-13.el7’, ‘python-crypto-2.6.1-13.fc24’ und
‘python-crypto-2.6.1-13.fc25’ zur Verfügung. Die Sicherheitsupdates für
Fedora 24 und Fedora EPEL 5 befinden sich bereits im Status ‘testing’,
während dieser Status für Fedora 25 und Fedora EPEL 7 erst beantragt ist
und die Sicherheitsupdates selbst den Status ‘pending’ haben.
Version 1 (17.01.2017):
Neues Advisory
Betroffene Software:
PyCrypto
Betroffene Plattformen:
Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 16.04 LTS
Canonical Ubuntu Linux 16.10
openSUSE 13.2
openSUSE Leap 42.1
openSUSE Leap 42.2
SUSE Linux Enterprise Server 11 SP3 Client Tools
SUSE Linux Enterprise Server 11 SP4 Client Tools
Red Hat Fedora 24
Red Hat Fedora 25
Extra Packages for Red Hat Enterprise Linux 5
Extra Packages for Red Hat Enterprise Linux 7
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, wenn der Operationsmodus von außerhalb spezifiziert werden kann,
um beliebigen Programmcode auszuführen.
Für openSUSE 13.2 sowie openSUSE Leap 42.1 und openSUSE Leap 42.2 stehen
Back-Sicherheitsupdates für ‘python-pycrypto’ zur Verfügung, um die
Schwachstelle zu beheben.
Patch:
openSUSE Security Update openSUSE-SU-2017:0156-1
http://lists.opensuse.org/opensuse-updates/2017-01/msg00088.html
Patch:
Fedora Security Update FEDORA-2017-08207fe48b (Fedora 24,
python-crypto-2.6.1-13.fc24)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-08207fe48b
Patch:
Fedora Security Update FEDORA-2017-7c569d396b (Fedora 25,
python-crypto-2.6.1-13.fc25)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-7c569d396b
Patch:
Fedora Security Update FEDORA-EPEL-2017-8cb1dcd776 (Fedora EPEL 7,
python-crypto-2.6.1-13.el7)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-8cb1dcd776
Patch:
Fedora Security Update FEDORA-EPEL-2017-9ec4289f01 (Fedora EPEL 5,
python-crypto-2.0.1-6.el5)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-9ec4289f01
Patch:
Ubuntu Security Notice USN-3199-1
http://www.ubuntu.com/usn/usn-3199-1/
Patch:
Ubuntu Security Notice USN-3199-2
http://www.ubuntu.com/usn/usn-3199-2/
Patch:
SUSE Security Update SUSE-SU-2017:1744-1
https://www.suse.com/de-de/support/update/announcement/2017/suse-su-20171744-1/
CVE-2013-7459: Schwachstelle in n PyCrypto ermöglicht Ausführen beliebigen
Programmcodes
Im AES-Modul von Python PyCryptoA existiert eine Schwachstelle, durch die es
bei der Verarbeitung von ALGobject-Strukturen zu einem Pufferüberlauf auf
dem Heap (Heap Buffer Overflow) kommen kann, wodurch auch Programmcode zur
Ausführung gebracht werden kann.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0080/
openSUSE Security Update openSUSE-SU-2017:0156-1:
http://lists.opensuse.org/opensuse-updates/2017-01/msg00088.html
Schwachstelle CVE-2013-7459 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7459
Fedora Security Update FEDORA-2017-08207fe48b (Fedora 24,
python-crypto-2.6.1-13.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-08207fe48b
Fedora Security Update FEDORA-2017-7c569d396b (Fedora 25,
python-crypto-2.6.1-13.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-7c569d396b
Fedora Security Update FEDORA-EPEL-2017-8cb1dcd776 (Fedora EPEL 7,
python-crypto-2.6.1-13.el7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-8cb1dcd776
Fedora Security Update FEDORA-EPEL-2017-9ec4289f01 (Fedora EPEL 5,
python-crypto-2.0.1-6.el5):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-9ec4289f01
Ubuntu Security Notice USN-3199-1:
http://www.ubuntu.com/usn/usn-3199-1/
Ubuntu Security Notice USN-3199-2:
http://www.ubuntu.com/usn/usn-3199-2/
SUSE Security Update SUSE-SU-2017:1744-1:
https://www.suse.com/de-de/support/update/announcement/2017/suse-su-20171744-1/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
