Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (08.12.2017):
Für openSUSE Leap 42.2 und 42.3 stehen Sicherheitsupdates zur Behebung der
Schwachstelle in OpenSAML zur Verfügung.
Version 2 (08.12.2017):
Für SUSE Linux Enterprise Software Development Kit 12 SP2 und SP3 sowie
für SUSE Linux Enterprise Server 12 SP2, SP3 und Server for Raspberry Pi
12 SP2 stehen Sicherheitsupdates für ‘opensaml’ zur Verfügung, mit denen
die Schwachstelle behoben wird.
Version 1 (17.11.2017):
Neues Advisory
Betroffene Software:
OpenSAML-C++ < 2.6.1 Betroffene Plattformen: SUSE Linux Enterprise Software Development Kit 12 SP2 SUSE Linux Enterprise Software Development Kit 12 SP3 Apple macOS Debian Linux 8.9 Jessie Debian Linux 9.2 Stretch GNU/Linux Microsoft Windows openSUSE Leap 42.2 openSUSE Leap 42.3 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi SUSE Linux Enterprise Server 12 SP3 Aufgrund eines Programmierfehlers in der Bibliothek OpenSAML-C++ werden kritische Sicherheitsprüfungen für zu schützende Bereiche nicht durchgeführt, wenn auf die 'DynamicMetadataProvider'-Klasse zurückgegriffen wird. Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle ausnutzen, um die beabsichtigten Sicherheitsvorkehrungen zu umgehen und unterschiedliche Angriffe durchzuführen. Zu den Angriffen kann auch die Ersetzung von Metadaten gehören, wodurch der zu schützende Bereich vollständig kompromittiert werden kann. Der Hersteller veröffentlicht OpenSAML-C++ 2.6.1 zur Behebung der Schwachstelle. Für Debian Jessie (oldstable) und Stretch (stable) stehen Backport-Sicherheitsupdates bereit. Patch: Debian Security Advisory DSA-4039-1 https://www.debian.org/security/2017/dsa-4039
Patch:
Shibboleth Service Provider Security Advisory [15 November 2017]
https://shibboleth.net/community/advisories/secadv_20171115.txt
Patch:
SUSE Security Update SUSE-SU-2017:3234-1
http://lists.suse.com/pipermail/sle-security-updates/2017-December/003480.html
Patch:
openSUSE Security Update openSUSE-SU-2017:3241-1
http://lists.opensuse.org/opensuse-updates/2017-12/msg00031.html
CVE-2017-16853: Schwachstelle in OpenSAML ermöglicht Umgehen von
Sicherheitsvorkehrungen
In der ‘DynamicMetadataProvider’-Klasse der Bibliothek OpenSAML-C++ besteht
ein der Schwachstelle CVE-2017-16852 gleichendes Sicherheitsproblem.
Aufgrund eines Programmierfehlers in
‘saml/saml2/metadata/impl/DynamicMetadataProvider.cpp’ werden auch hier
sicherheitsrelevante Prüfungen nicht durchgeführt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2074/
Debian Security Advisory DSA-4039-1:
https://www.debian.org/security/2017/dsa-4039
Shibboleth Service Provider Security Advisory [15 November 2017]:
https://shibboleth.net/community/advisories/secadv_20171115.txt
Schwachstelle CVE-2017-16853 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16853
SUSE Security Update SUSE-SU-2017:3234-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-December/003480.html
openSUSE Security Update openSUSE-SU-2017:3241-1:
http://lists.opensuse.org/opensuse-updates/2017-12/msg00031.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
