Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 3 (19.06.2017):
Debian stellt für die stabile Distribution Stretch und die vorige stabile
Version Jessie ein Sicherheitsupdate für ‘irssi’ bereit.
Version 2 (12.06.2017):
Canonical stellt für die aktuellen Distributionen Ubuntu Linux 14.04 LTS,
16.04 LTS, 16.10 und 17.04 Sicherheitsupdates für Irssi zur Verfügung.
Version 1 (09.06.2017):
Neues Advisory

Betroffene Software:

Irssi < 1.0.3 Betroffene Plattformen: SUSE Package Hub for SUSE Linux Enterprise 12 Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 16.10 Canonical Ubuntu Linux 17.04 Debian Linux 8.8 Jessie Debian Linux 9.0 Stretch openSUSE Leap 42.2 Zwei Schwachstellen in Irssi ermöglichen einem entfernten, nicht authentisierten Angreifer durch manipulierte DCC-Nachrichten beziehungsweise DCC-Dateien Denial-of-Service (DoS)-Zustände in der Anwendung herbeizuführen. Der Hersteller stellt Irssi 1.0.3 als Sicherheitsupdate zur Behebung der beiden Schwachstellen bereit. Für SUSE Package Hub for SUSE Linux Enterprise 12 und openSUSE Leap 42.2 steht Irssi in der Version 1.0.3 als Sicherheitsupdate zur Verfügung. Patch: Irssi 1.0.3 Release Notes https://raw.githubusercontent.com/irssi/irssi/1.0.3/NEWS

Patch:

openSUSE Security Update openSUSE-SU-2017:1505-1

http://lists.opensuse.org/opensuse-updates/2017-06/msg00019.html

Patch:

openSUSE Security Update openSUSE-SU-2017:1515-1

http://lists.opensuse.org/opensuse-updates/2017-06/msg00025.html

Patch:

Ubuntu Security Notice USN-3317-1

https://www.ubuntu.com/usn/usn-3317-1/

Patch:

Debian Security Advisory DSA-3885-1

https://www.debian.org/security/2017/dsa-3885

CVE-2017-9469: Schwachstelle in Irssi ermöglicht Denial-of-Service-Angriff

Aufgrund der unzureichenden Validierung von Eingaben existiert eine
Schwachstelle in Irssi vor Version 1.0.3. Empfängt Irssi fehlerhaft mit
Anführungszeichen versehene (incorrectly quoted) DCC-Dateien, versucht die
Anwendung das terminierende Anführungszeichen (Quote) vor dem allozierten
Speicherbereich zu finden (Buffer Under-Read), wodurch eine
Speicherschutzverletzung auftritt und die Anwendung abstürzt. Ein
entfernter, nicht authentisierter Angreifer kann durch die Versendung
präparierter DCC-Dateien einen Denial-of-Service-Angriff durchführen.

CVE-2017-9468: Schwachstelle in Irssi ermöglicht Denial-of-Service-Angriff

Aufgrund der unzureichenden Validierung von Eingaben existiert eine
Schwachstelle in Irssi vor Version 1.0.3. Wird eine DCC-Nachricht ohne
Quellenangabe von Alias oder Hostname (Source Nick/Host) empfangen, versucht
die Anwendung einen NULL-Zeiger zu dereferenzieren und stürzt ab. Ein
entfernter, nicht authentisierter Angreifer kann durch die Versendung
präparierter DCC-Nachrichten über einen bösartigen IRC-Server einen
Denial-of-Service-Angriff auf einen Client durchführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0994/

Schwachstelle CVE-2017-9468 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9468

Schwachstelle CVE-2017-9469 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9469

Irssi 1.0.3 Release Notes:
https://raw.githubusercontent.com/irssi/irssi/1.0.3/NEWS

openSUSE Security Update openSUSE-SU-2017:1505-1:
http://lists.opensuse.org/opensuse-updates/2017-06/msg00019.html

openSUSE Security Update openSUSE-SU-2017:1515-1:
http://lists.opensuse.org/opensuse-updates/2017-06/msg00025.html

Ubuntu Security Notice USN-3317-1:
https://www.ubuntu.com/usn/usn-3317-1/

Debian Security Advisory DSA-3885-1:
https://www.debian.org/security/2017/dsa-3885

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.