2014-0303: VMware vSphere: Schwachstellen in Third Party Libraries

Historie:

Version 1 (2014-03-12 17:57)

Neues Advisory

Betroffene Software

Server
Systemsoftware

Betroffene Plattformen

VMware
Virtualisierung
Hypervisor

Beschreibung:

In mehreren Third Party Libraries existierten Schwachstellen, welche nun für verschiedene VMware Produkte behoben wurden:
a) In NTP ermöglicht der Missbrauch des "monlist"-Kommandos einem entfernten, nicht authentifizierten Angreifer durch Fälschen der Absenderadresse einen Denial-of-Service-Angriff durchzuführen. Aufgrund der Relation von kleiner Anfrage (ein UDP Paket) zu sehr großer Antwort (max. 600 IP-Adressen) wird von einem Verstärker (Amplifier)-Angriff gesprochen. Das Feature wird seit Dezember 2013 aktiv für DDoS-Angriffe ausgenutzt (CVE-2013-5211).
Für die Produktversionen 5.5 wird die Installation der folgenden Updates bzw. Patches empfohlen:
i) vCenter Server Appliance 5.5 Update 1,
ii) VMware ESXi 5.5 patch ESXi550-201403101-SG.
b) In der Funktion malloc/malloc.c der GNU C Bibliothek (glibc) existierten mehrere Integer-Überlauf-Schwachstellen, die es, kontextabhängig, einem entfernten, nicht authentisierten Angreifer ermöglichen, mittels eines großen Übergabewertes bei der Anforderung und Zuordnung von Speicher einen Denial-of-Service-Zustand (heap corruption) herbeizuführen (CVE-2013-4332).
Für das Produkt VMware ESXi 5.5 wird die Installation des Patches ESXi550-201403101-SG empfohlen.
c) Mehrere Schwachstellen existierten für Java JRE 1.7.0, die von Oracle mit dem Update auf Version JRE 1.7 Update 45 behoben wurden (siehe Oracle Java SE Critical Patch Update Advisory of October 2013).
Für die Produktversionen 5.5 wird die Installation der folgenden Updates empfohlen:
i) vCenter Server Appliance 5.5 Update 1,
ii) VMware Update Manager 5.5 Update 1.

Schwachstellen:

CVE-2013-4332

Drei Integer-Überläufe in glibc

CVE-2013-5211

Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.