Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 5 (20.06.2017):
Die Chromium Browser Pakete der Version 59.0.3071.86 wurden aus den
Sicherheitsupdates für Fedora 24, 25 und 26 entfernt und das
Sicherheitsupdate für Fedora EPEL 7, welches ohne den Native Client
ausgeliefert wurde, in den Status ‘obsolete versetzt (Referenz entfernt).
Hintergrund ist wahrscheinlich die Veröffentlichung der Chromium Version
59.0.3071.104 und der entsprechenden Sicherheitsupdates für Fedora (siehe
gesondertes Advisory). Die Sicherheitsupdates für Fedora 24, 25 und 26
befinden sich durch die Änderung wieder im Status ‘pending’.
Version 4 (15.06.2017):
Für Fedora 24, 25 und 26 stehen Chromium und der Chromium Native Client
sowie für Fedora EPEL 7 Chromium jeweils in der Version 59.0.3071.86 als
Sicherheitsupdates bereit. Die Updates für Fedora EPEL 7 und Fedora 24
befinden sich im Status ‘testing’, während diejenigen Fedora 25 und 26
noch ‘pending’ sind.
Version 3 (08.06.2017):
Für openSUSE Leap 42.2 und SUSE Package Hub for SUSE Linux Enterprise 12
steht der Chromium Browser in der Version 59.0.3071.86 als
Sicherheitsupdate bereit.
Version 2 (07.06.2017):
Für die Red Hat Enterprise Linux 6 Supplementary Produkte Server, Desktop
und Workstation steht der Chromium Browser in der Version 59.0.3071.86 als
Sicherheitsupdate bereit.
Version 1 (06.06.2017):
Neues Advisory
Betroffene Software:
Chromium < 59.0.3071.86 Google Chrome < 59.0.3071.86 Betroffene Plattformen: SUSE Package Hub for SUSE Linux Enterprise 12 Apple Mac OS X macOS Sierra GNU/Linux Microsoft Windows openSUSE Leap 42.2 Red Hat Enterprise Linux Desktop Supplementary 6 Red Hat Enterprise Linux Server Supplementary 6 Red Hat Enterprise Linux Workstation Supplementary 6 Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Extra Packages for Red Hat Enterprise Linux 7 In Google Chrome und Chromium vor Version 59.0.3071.86 existieren 30 Schwachstellen, von denen Google nur die 16 explizit auflistet, die von externen Sicherheitsforschern entdeckt wurden. Die aufgeführten Schwachstellen ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausführen beliebigen Programmcodes oder beliebiger Befehle, das Darstellen falscher und das Ausspähen von Informationen, das Umgehen von Sicherheitsvorkehrungen, die Durchführung von Denial-of-Service (DoS)-Angriffen und weitere, nicht spezifizierte Angriffe. Fünf der aufgelisteten Schwachstellen stuft der Hersteller in Bezug auf die Kritikalität als 'hoch' ein. Google veröffentlicht das Chrome Stable Channel Update for Desktop 59.0.3071.86 für Windows, Macintosh (Mac OS X und macOS Sierra) und Linux als Sicherheitsupdate zur Behebung dieser Schwachstellen. Dies ist die erste veröffentlichte Version von Chrome 59. Patch: Chrome Stable Channel Update, 5. Juni 2017 https://chromereleases.googleblog.com/2017/06/stable-channel-update-for-desktop.html
Patch:
Red Hat Security Advisory RHSA-2017:1399
http://rhn.redhat.com/errata/RHSA-2017-1399.html
Patch:
openSUSE Security Update openSUSE-SU-2017:1501-1
http://lists.opensuse.org/opensuse-updates/2017-06/msg00017.html
Patch:
openSUSE Security Update openSUSE-SU-2017:1502-1
http://lists.opensuse.org/opensuse-updates/2017-06/msg00018.html
Patch:
Fedora Security Update FEDORA-2017-b8d76bef4e (Fedora 24,
chromium-native_client-59.0.3071.86-1.20170607gitaac1de2)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-b8d76bef4e
Patch:
Fedora Security Update FEDORA-2017-a66e2c5b62 (Fedora 25,
chromium-native_client-59.0.3071.86-1.20170607gitaac1de2)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a66e2c5b62
Patch:
Fedora Security Update FEDORA-2017-c11d7ef69a (Fedora 26,
chromium-native_client-59.0.3071.86-1.20170607gitaac1de2)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c11d7ef69a
CVE-2017-5085: Schwachstelle in Google Chrome und Chromium ermöglicht nicht
spezifizierte Angriffe
In der Web-Benutzeroberfläche (WebUI) von Google Chrome und Chromium vor
Version 59.0.3071.86 existiert eine nicht näher spezifizierte Schwachstelle
aufgrund der unangemessenen Ausführung von Java-Skriptcode. Ein entfernter,
nicht authentifizierter Angreifer kann die Schwachstelle eventuell für das
Ausspähen von Informationen oder das Darstellen falscher Daten ausnutzen.
CVE-2017-5082: Schwachstelle in Google Chrome und Chromium ermöglicht nicht
spezifizierte Angriffe
Im Kreditkarten-Editor in Google Chrome und Chromium vor Version
59.0.3071.86 existiert eine nicht näher spezifizierte Schwachstelle im
Zusammenhang mit nicht ausreichenden Härtungen (Insufficient Hardening in
Credit Card Editor). Ein entfernter, nicht authentifizierter Angreifer kann
die Schwachstelle für die Durchführung nicht spezifizierter Angriffe
ausnutzen.
CVE-2017-5081: Schwachstelle in Google Chrome und Chromium ermöglicht
Umgehen von Sicherheitsvorkehrungen
In Google Chrome und Chromium vor Version 59.0.3071.86 existiert eine nicht
näher spezifizierte Schwachstelle im Kontext der Überprüfung von
Erweiterungen (Extension Verification Bypass). Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
Sicherheitsvorkehrungen zu umgehen.
CVE-2017-5080: Schwachstelle in Google Chrome und Chromium ermöglicht
Ausführung beliebigen Programmcodes
Durch eine nicht näher spezifizierte Schwachstelle in der Methode zur
automatischen Ausfüllung von Kreditkartendaten (Credit Card Autofill) in
Google Chrome und Chromium vor Version 59.0.3071.86 ist es möglich, auf
bereits freigegebene Speicherbereiche zuzugreifen (Use-after-Free). Ein
entfernter, nicht authentisierter Angreifer kann die Schwachstelle ausnutzen
und beliebigen Programmcode ausführen.
CVE-2017-5079 CVE-2017-5083: Schwachstellen in Google Chrome und Chromium
ermöglichen Darstellen falscher Informationen
In der Komponente Blink in Google Chrome und Chromium vor Version
59.0.3071.86 existieren zwei nicht näher beschriebene Schwachstellen, durch
die es möglich ist, falsche Informationen in der Benutzeroberfläche
darzustellen (UI Spoofing). Ein entfernter, nicht authentifizierter
Angreifer kann die Schwachstellen beispielsweise ausnutzen, um einen
Benutzer durch die Darstellung falscher Informationen zu verwirren und
darüber möglicherweise weitere Angriffe initiieren.
CVE-2017-5078: Schwachstelle in Google Chrome und Chromium ermöglicht
Ausführen beliebiger Programmbefehle
In Google Chrome und Chromium vor Version 59.0.3071.86 existiert eine nicht
näher beschriebene Schwachstelle in der Verarbeitung von ‘mailto’-Anfragen,
durch die bösartige Programmbefehle injiziert werden können (Command
Injection). Ein entfernter, nicht authentifizierter Angreifer kann durch das
Ausnutzen der Schwachstelle unerlaubt Programmbefehle zur Ausführung
bringen.
CVE-2017-5077: Schwachstelle in Google Chrome und Chromium ermöglicht
Ausführung beliebigen Programmcodes
In der Komponente Skia in Google Chrome und Chromium vor Version
59.0.3071.86 existiert eine nicht detailliert spezifizierte Schwachstelle,
die es ermöglicht, den Heap-Pufferspeicher zum Überlauf zu bringen (Heap
Buffer Overflow). Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle ausnutzen, um einen Denial-of-Service (DoS)-Angriff
durch- oder möglicherweise beliebigen Programmcode auszuführen.
CVE-2017-5075: Schwachstelle in Google Chrome und Chromium ermöglicht
Ausspähen von Informationen
Durch eine nicht näher spezifizierte Schwachstelle im Kontext des Content
Security Policy (CSP) Reporting in Google Chrome und Chromium vor Version
59.0.3071.86 ist es einem entfernten, nicht authentifizierten Angreifer
möglich, Informationen auszuspähen, die sich möglicherweise für weitere
Angriffe nutzen lassen.
CVE-2017-5074: Schwachstelle in Google Chrome und Chromium ermöglicht
Ausführen beliebigen Programmcodes
Eine Schwachstelle in der Bluetooth-Schnittstelle (Apps Bluetooth) von
Google Chrome und Chromium vor Version 59.0.3071.86 beruht auf der
Weiterverwendung bereits freigegebener Speicherbereiche (Use-after-Free).
Ein entfernter, nicht authentifizierter Angreifer kann die Schwachstelle
ausnutzen, um einen Denial-of-Service (DoS)-Zustand zu bewirken und
beliebigen Programmcode zur Ausführung zu bringen.
CVE-2017-5073: Schwachstelle in Google Chrome und Chromium ermöglicht
Ausführen beliebigen Programmcodes
In der Druckvorschau (Print Preview) von Google Chrome und Chromium vor
Version 59.0.3071.86 existiert eine Schwachstelle, die es ermöglicht,
freigegebene Speicherbereiche weiterhin zu verwenden (Use-after-Free).
Dadurch kann auf einem betroffenen System beliebiger Programmcode zur
Ausführung gebracht werden. Ein entfernter, nicht authentifizierter
Angreifer kann durch Ausnutzen der Schwachstelle einen Denial-of-Service
(DoS)-Zustand herbeiführen und beliebigen Programmcode ausführen.
CVE-2017-5072 CVE-2017-5076 CVE-2017-5086: Schwachstellen in Omnibox
ermöglichen Darstellen falscher Informationen
In Omnibox, welches von Google Chrome und Chromium vor Version 59.0.3071.86
verwendet wird, existieren mehrere nicht näher beschriebene Schwachstellen,
die es ermöglichen, falsche Informationen in der Adressleiste darzustellen
(Address Spoofing). Ein entfernter, nicht authentisierter Angreifer kann
gefälschte Adressen darstellen und dies als Ausgangspunkt für weitere
Angriffe verwenden.
CVE-2017-5071: Schwachstelle in V8 ermöglicht Denial-of-Service-Angriff
In Google Chrome und Chromium vor Version 59.0.3071.86 existiert eine nicht
näher spezifizierte Schwachstelle in der Komponente V8, durch die
Lesezugriffe außerhalb von Speichergrenzen möglich sind (Out-of-Bounds
Read). Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle für einen Denial-of-Service (DoS)-Angriff ausnutzen.
CVE-2017-5070: Schwachstelle in V8 ermöglicht Ausführen beliebigen
Programmcodes
In Google Chrome und Chromium vor Version 59.0.3071.86 existiert eine nicht
detailliert beschriebene Schwachstelle in der Komponente V8, die auf einer
Typenverwechslung (Type-Confusion) beruht. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um
beliebigen Programmcode auszuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0964/
Chrome Stable Channel Update, 5. Juni 2017:
https://chromereleases.googleblog.com/2017/06/stable-channel-update-for-desktop.html
Schwachstelle CVE-2017-5070 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5070
Schwachstelle CVE-2017-5071 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5071
Schwachstelle CVE-2017-5072 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5072
Schwachstelle CVE-2017-5073 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5073
Schwachstelle CVE-2017-5074 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5074
Schwachstelle CVE-2017-5075 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5075
Schwachstelle CVE-2017-5076 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5076
Schwachstelle CVE-2017-5077 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5077
Schwachstelle CVE-2017-5078 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5078
Schwachstelle CVE-2017-5079 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5079
Schwachstelle CVE-2017-5080 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5080
Schwachstelle CVE-2017-5081 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5081
Schwachstelle CVE-2017-5082 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5082
Schwachstelle CVE-2017-5083 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5083
Schwachstelle CVE-2017-5085 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5085
Schwachstelle CVE-2017-5086 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5086
Red Hat Security Advisory RHSA-2017:1399:
http://rhn.redhat.com/errata/RHSA-2017-1399.html
openSUSE Security Update openSUSE-SU-2017:1501-1:
http://lists.opensuse.org/opensuse-updates/2017-06/msg00017.html
openSUSE Security Update openSUSE-SU-2017:1502-1:
http://lists.opensuse.org/opensuse-updates/2017-06/msg00018.html
Fedora Security Update FEDORA-2017-b8d76bef4e (Fedora 24,
chromium-native_client-59.0.3071.86-1.20170607gitaac1de2):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-b8d76bef4e
Fedora Security Update FEDORA-2017-a66e2c5b62 (Fedora 25,
chromium-native_client-59.0.3071.86-1.20170607gitaac1de2):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a66e2c5b62
Fedora Security Update FEDORA-2017-c11d7ef69a (Fedora 26,
chromium-native_client-59.0.3071.86-1.20170607gitaac1de2):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c11d7ef69a
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
