Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (14.07.2017):
Für openSUSE Leap 42.2 steht ein Sicherheitsupdate für ‘libcares2’ bereit.
Version 2 (06.07.2017):
Für die SUSE Linux Enterprise Produktvarianten Workstation Extension,
Software Development Kit, Server for Raspberry Pi, Server und Desktop in
der Version 12 SP2 stehen Sicherheitsupdates für ‘libcares2’ bereit, um
die Schwachstelle zu beheben.
Version 1 (21.06.2017):
Neues Advisory
Betroffene Software:
c-ares < 1.13.0 Betroffene Plattformen: SUSE Linux Enterprise Software Development Kit 12 SP2 SUSE Linux Enterprise Workstation Extension 12 SP2 openSUSE Leap 42.2 SUSE Linux Enterprise Desktop 12 SP2 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Eine Schwachstelle in c-ares ermöglicht einem entfernten, nicht authentisierten Angreifer mit Hilfe einer speziell präparierten DNS-Antwort Lesezugriffe auf Speicherbereiche außerhalb der gültigen Speichergrenzen durchzuführen und so Informationen auszuspähen. Für Fedora 24, 25 und 26 steht c-ares in der Version 1.13.0 als Sicherheitsupdate bereit. Die Sicherheitsupdates für Fedora 24 und 25 befinden sich im Status 'testing' und das Sicherheitsupdate für Fedora 26 ist im Status 'pending'. Patch: Fedora Security Update FEDORA-2017-4932c9b886 (Fedora 24, c-ares-1.13.0-1) https://bodhi.fedoraproject.org/updates/FEDORA-2017-4932c9b886
Patch:
Fedora Security Update FEDORA-2017-6dc3fd198d (Fedora 26, c-ares-1.13.0-1)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-6dc3fd198d
Patch:
Fedora Security Update FEDORA-2017-ba1399832b (Fedora 25, c-ares-1.13.0-1)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-ba1399832b
Patch:
SUSE Security Update SUSE-SU-2017:1792-1
http://lists.suse.com/pipermail/sle-security-updates/2017-July/003012.html
Patch:
openSUSE Security Update openSUSE-SU-2017:1857-1
http://lists.opensuse.org/opensuse-updates/2017-07/msg00059.html
CVE-2017-1000381: Schwachstelle in c-ares ermöglicht Ausspähen von
Informationen
In der Funktion ‘ares_parse_naptr_reply’ zur Verarbeitung von NAPTR (Naming
Authority Pointer)-Antworten in c-ares existiert eine Schwachstelle, durch
die mit Hilfe eines speziell präparierten DNS-Antwortpaketes Speicher
außerhalb gültiger Speichergrenzen gelesen werden kann (Out-of-Bounds Read).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1061/
Fedora Security Update FEDORA-2017-4932c9b886 (Fedora 24, c-ares-1.13.0-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-4932c9b886
Fedora Security Update FEDORA-2017-6dc3fd198d (Fedora 26, c-ares-1.13.0-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-6dc3fd198d
Fedora Security Update FEDORA-2017-ba1399832b (Fedora 25, c-ares-1.13.0-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-ba1399832b
Schwachstelle CVE-2017-1000381 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000381
SUSE Security Update SUSE-SU-2017:1792-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-July/003012.html
openSUSE Security Update openSUSE-SU-2017:1857-1:
http://lists.opensuse.org/opensuse-updates/2017-07/msg00059.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
