Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 4 (07.08.2017):
Für openSUSE Leap 42.3 und openSUSE Leap 42.2 stehen Sicherheitsupdates
für ‘icoutils’ bereit.
Version 3 (14.03.2017):
Canonical stellt für Ubuntu 12.04 LTS ein Backport-Sicherheitsupdate
bereit.
Version 2 (13.03.2017):
Debian stellt für die Distributionen Debian Jessie (stable) und Debian
Stretch (upcoming stable) ein Sicherheitsupdate bereit.
Version 1 (07.03.2017):
Neues Advisory
Betroffene Software:
icoutils < 0.31.2 Betroffene Plattformen: Canonical Ubuntu Linux 12.04 LTS (ESM) Debian Linux 8.7 Jessie Debian Linux 9.0 Stretch openSUSE Leap 42.2 openSUSE Leap 42.3 Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Extra Packages for Red Hat Enterprise Linux 6 Mehrere Schwachstellen in icoutils ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe. Zur Behebung dieser Schwachstellen wurde icoutils in der Version 0.31.2 als Sicherheitsupdates zur Verfügung gestellt. Für Fedora 24, 25 und 26 sowie für Fedora EPEL 6 stehen Sicherheitsupdates für icoutils auf diese Version bereit, die sich derzeit noch im Status 'pending' befinden. Patch: Fedora Security Update FEDORA-2017-0e9ad12958 (Fedora 25, icoutils-0.31.2-1.fc25) https://bodhi.fedoraproject.org/updates/FEDORA-2017-0e9ad12958
Patch:
Fedora Security Update FEDORA-2017-a861eb07ee (Fedora 26,
icoutils-0.31.2-1.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a861eb07ee
Patch:
Fedora Security Update FEDORA-2017-e8460ebed6 (Fedora 24,
icoutils-0.31.2-1.fc24)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-e8460ebed6
Patch:
Fedora Security Update FEDORA-EPEL-2017-23481d5e1a (Fedora EPEL 6,
icoutils-0.31.2-1.el6)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-23481d5e1a
Patch:
icoutils Releases
http://download.savannah.gnu.org/releases/icoutils/
Patch:
Debian Security Advisory DSA-3807-1
https://www.debian.org/security/2017/dsa-3807
Patch:
Ubuntu Security Notice USN-3226-1
http://www.ubuntu.com/usn/usn-3226-1/
Patch:
openSUSE Security Update openSUSE-SU-2017:2053-1
http://lists.opensuse.org/opensuse-updates/2017-08/msg00012.html
CVE-2017-6011: Schwachstelle in icoutils ermöglicht
Denial-of-Service-Angriff
In der Funktion ‘simple_vec’ von icoutils existiert eine nicht näher
beschriebene Schwachstelle, die es ermöglicht einen Lesezugriff außerhalb
zulässiger Speichergrenzen durchzuführen (Out-of-Bounds Read) und eine
Speicherschutzverletzung auszulösen, wodurch die Anwendung abstürzt. Ein
entfernter, nicht authentisierter Angreifer kann einen Denial-of-Service
(DoS)-Angriff durchführen.
CVE-2017-6010: Schwachstelle in icoutils ermöglicht
Denial-of-Service-Angriff
In der Funktion ‘extract_icons’ in icoutils existiert eine nicht näher
beschrieben Schwachstelle, die es ermöglicht mit einer bösartig präparierten
ico-Datei eine Pufferspeicherüberlauf zu verursachen, in dessen Folge die
Anwendung abstürzt. Ein entfernter, nicht authentisierter Angreifer kann
einen Denial-of-Service (DoS)-Angriff durchführen.
CVE-2017-6009: Schwachstelle in icoutils ermöglicht
Denial-of-Service-Angriff
In der Funktion ‘decode_ne_resource_id’ in ‘restable.c’ in icoutils
existiert eine Schwachstelle aufgrund unzureichender Validierung des
Parameters ‘len’ bei der Ausführung von ‘memcpy’, die es ermöglicht einen
Pufferspeicherüberlauf zu verursachen und die Anwendung zum Absturz zu
bringen. Ein entfernter, nicht authentisierter Angreifer kann einen
Denial-of-Service (DoS)-Angriff durchführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0396/
Schwachstelle CVE-2017-6009 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6009
Schwachstelle CVE-2017-6010 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6010
Schwachstelle CVE-2017-6011 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6011
Fedora Security Update FEDORA-2017-0e9ad12958 (Fedora 25,
icoutils-0.31.2-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0e9ad12958
Fedora Security Update FEDORA-2017-a861eb07ee (Fedora 26,
icoutils-0.31.2-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a861eb07ee
Fedora Security Update FEDORA-2017-e8460ebed6 (Fedora 24,
icoutils-0.31.2-1.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-e8460ebed6
Fedora Security Update FEDORA-EPEL-2017-23481d5e1a (Fedora EPEL 6,
icoutils-0.31.2-1.el6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-23481d5e1a
icoutils Releases:
http://download.savannah.gnu.org/releases/icoutils/
Debian Security Advisory DSA-3807-1:
https://www.debian.org/security/2017/dsa-3807
Ubuntu Security Notice USN-3226-1:
http://www.ubuntu.com/usn/usn-3226-1/
openSUSE Security Update openSUSE-SU-2017:2053-1:
http://lists.opensuse.org/opensuse-updates/2017-08/msg00012.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
