Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (06.12.2017):
Canonical stellt für Ubuntu Linux 14.04 LTS, 16.04 LTS, 17.04 und 17.10
Sicherheitsupdates für die Firmware für Linux-Kerneltreiber bereit, mit
denen die beiden Schwachstellen im Kontext von WPA2 bei Wake on WLAN
adressiert werden.
Version 2 (30.11.2017):
Für die Distributionen openSUSE Leap 42.2 und 42.3 stehen
Sicherheitsupdates bereit, die die beiden Schwachstellen beheben.
Version 1 (28.11.2017):
Neues Advisory
Betroffene Software:
Linux-Kernel
Betroffene Plattformen:
SUSE Container-as-a-Service-(CaaS)-Plattform ALL
Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 16.04 LTS
Canonical Ubuntu Linux 17.04
Canonical Ubuntu Linux 17.10
openSUSE Leap 42.2
openSUSE Leap 42.3
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Desktop 12 SP3
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
SUSE Linux Enterprise Server 12 SP3
Ein nicht authentisierter Angreifer im benachbarten Netzwerk kann zwei
Schwachstellen ausnutzen, um die Sicherheitsvorkehrung der
WPA2-Verschlüsselung zu umgehen (bekannt als KRACK-Angriff) und dadurch
Daten mitlesen und verändern.
SUSE stellt für die Distributionen SUSE Linux Enterprise Server und Desktop
12 SP2 und SP3, Server for Raspberry Pi 12 SP2 sowie SUSE Container as a
Service Platform ALL Sicherheitsupdates für die Kernel-Firmware zur Behebung
der Schwachstellen bereit.
Patch:
SUSE Security Update SUSE-SU-2017:3106-1
http://lists.suse.com/pipermail/sle-security-updates/2017-November/003419.html
Patch:
openSUSE Security Update openSUSE-SU-2017:3144-1
http://lists.opensuse.org/opensuse-updates/2017-11/msg00096.html
Patch:
Ubuntu Security Notice USN-3505-1
http://www.ubuntu.com/usn/usn-3505-1/
CVE-2017-13081: Schwachstelle in WPA2-Protokoll ermöglicht Umgehen von
Sicherheitsvorkehrungen
Die erneute Installation des ‘Integrity Group Key’ (IGTK) im
Group-Key-Handshake bei geschützten WLAN-Verbindungen (WPA, WPA2) ermöglicht
einem nicht authentisierten Angreifer im benachbarten Netzwerk die
Entschlüsselung eigentlich verschlüsselten Datenverkehrs.
CVE-2017-13080: Schwachstelle in WPA2-Protokoll ermöglicht Umgehen von
Sicherheitsvorkehrungen
Die erneute Installation des ‘Group Key’ (GTK) im Group-Key-Handshake bei
geschützten WLAN-Verbindungen (WPA, WPA2) ermöglicht einem nicht
authentisierten Angreifer im benachbarten Netzwerk die Entschlüsselung
eigentlich verschlüsselten Datenverkehrs.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2139/
Schwachstelle CVE-2017-13080 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-13080
Schwachstelle CVE-2017-13081 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-13081
SUSE Security Update SUSE-SU-2017:3106-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-November/003419.html
openSUSE Security Update openSUSE-SU-2017:3144-1:
http://lists.opensuse.org/opensuse-updates/2017-11/msg00096.html
Ubuntu Security Notice USN-3505-1:
http://www.ubuntu.com/usn/usn-3505-1/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
