2015-0375: OpenSSL: Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe
Historie:
- Version 1 (2015-03-19 18:49)
- Neues Advisory
- Version 2 (2015-03-20 13:12)
- FreeBSD, SuSE, Canonical und Debian stellen Sicherheitsupdates zur Verfügung. Die Details finden sich im Abschnitt Beschreibung.
- Version 3 (2015-03-20 17:20)
- Für SUSE Linux Enterprise Desktop 12 und SUSE Linux Enterprise Module for Legacy Software 12 stehen Sicherheitsupdates bereit, die die Schwachstellen CVE-2009-5146, CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 beheben.
- Version 4 (2015-03-23 11:54)
- Fedora, openSUSE, SUSE und F5 Networks stellen Informationen bereit. Die Details sind im Abschnitt 'Beschreibung' aufgeführt.
- Version 5 (2015-03-23 16:15)
- Cisco veröffentlicht Informationen zu den stattfindenden Analyse, siehe Abschnitt 'Beschreibung' für mehr Details.
- Version 6 (2015-03-24 14:37)
- Für Red Hat Enterprise Linux Desktop 6 und 7, Enterprise Linux Server 6 und 7, Enterprise Linux Server 6.6.z EUS, Enterprise Linux HPC Node 6 und 7 sowie Enterprise Linux Workstation 6 und 7 stehen Sicherheitsupdates bereit.
- Version 7 (2015-03-30 14:07)
- Für den Red Hat Storage Server 2.1 steht ein aktualisiertes OpenSSL-Paket zur Behebung der Schwachstellen zur Verfügung, wobei die Schwachstellen CVE-2009-5146 und CVE-2015-0204 nicht aufgelistet werden.
- Version 8 (2015-04-07 17:50)
- Novell stellt für das eDirectory 8.8 SP8 Sicherheitsupdates zur Verfügung, Details siehe Beschreibung.
- Version 9 (2015-04-27 12:03)
- Für die Distributionen Fedora 21 und Fedora 22 sowie für Fedora EPEL 7 stehen Sicherheitsupdates auf die Version OpenSSL 1.0.2a zur Behebung der Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289 und CVE-2015-0293 im Status 'testing' zur Verfügung.
Betroffene Software
Server
Sicherheit
Betroffene Plattformen
Hardware
Cisco
Linux
Microsoft
UNIX
Beschreibung:
Durch Ausnutzen dieser Schwachstellen kann ein entfernter, nicht authentifizierter Angreifer Denial-of-Service (DoS)-Angriffe durchführen.
Nachdem von dem OpenSSL Projekt OpenSSL 1.0.2a, OpenSSL 1.0.1m, OpenSSL 1.0.0r und OpenSSL 0.9.8zf veröffentlicht worden sind, wurden auch OpenBSD 5.5 (CVE-2015-0286, CVE-2015-0292) , OpenBSD 5.6 und OpenBSD 5.7 (CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289) aktualisiert, um die Schwachstellen zu beheben.
FreeBSD stellt für alle unterstützten FreeBSD-Versionen Sicherheitsupdates für die Behebung der Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0293 zur Verfügung. Der Hersteller weist darauf hin, dass die Schwachstellen CVE-2015-0204 und CVE-2015-0292 bereits durch das Sicherheitsupdate FreeBSD-SA-15:01.openssl behoben wurden.
Die für FreeBSD behobenen Schwachstellen werden ebenfalls durch Sicherheitsupdates für SUSE Linux Enterprise Software Development Kit 12, Server 12 und Desktop 12 adressiert. Für SUSE Linux Enterprise Server 10 SP4 LTSS, SUSE Linux Enterprise Security Module 11 SP3 und für Ubuntu 10.04 LTS, Ubuntu 12.04 LTS, Ubuntu 14.04 LTS und Ubuntu 14.10 wird zusätzlich die Schwachstelle CVE-2015-0292 durch die verfügbaren Sicherheitsupdates adressiert.
Für SUSE Linux Enterprise Desktop 11 SP3, SUSE Linux Enterprise for SAP Applications (11 SP1) und SUSE Linux Enterprise Server 10 SP4 LTSS (compat-openssl097g) stehen Sicherheitsupdates zur Behebung der Schwachstellen CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 zur Verfügung.
Debian stellt für die stabile Distribution Wheezy (7.7) Sicherheitsupdates zur Behebung der Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289 und CVE-2015-0292 bereit.
Für SUSE Linux Enterprise Server 11 SP1 LTSS und Server 11 SP2 LTSS stehen Sicherheitsupdates bereit, die neben den Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 auch die Denial-of-Service-Schwachstelle CVE-2009-5146 beheben.
Update 1: Für SUSE Linux Enterprise Desktop 12 und SUSE Linux Enterprise Module for Legacy Software 12 stehen Sicherheitsupdates bereit, die die Schwachstellen CVE-2009-5146, CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 beheben.
Update 2: Für die Distributionen Fedora 20, Fedora 21 und Fedora 22 stehen stabile Sicherheitsupdates über Backports zur Behebung der Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289 und CVE-2015-0292 bereit.
Für openSUSE 13.1 und openSUSE 13.2 werden die Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287,
CVE-2015-0288, CVE-2015-0289 und CVE-2015-0293 durch Sicherheitsupdates adressiert. Für SLE CLIENT TOOLS 10 in verschiedenen Ausprägungen wird zusätzlich die Schwachstelle CVE-2015-0292 behoben. Und für SUSE Studio Onsite 1.3, SUSE Manager 1.7 for SLE 11 SP2, SUSE Linux Enterprise Software Development Kit 11 SP3, Server 11 SP3, Server 11 SP3 for VMware und Desktop 11 SP3 auch noch die Schwachstelle CVE-2009-5146.
F5 Networks informiert darüber, dass die Analysen bezüglich der Betroffenheit der F5 Networks Produkte von den Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 noch nicht abgeschlossen sind. Die Ergebnisse der Analysen werden auf den referenzierten Seite 'F5 Networks Security Advisory sol16301' bzw. 'F5 Networks Security Advisory sol16302' veröffentlicht.
Update 3: Cisco informiert darüber, dass mehrere Cisco Produkte intern verwundbare OpenSSL Versionen einsetzen. Die betroffenen Produkte werden derzeit hinsichtlich der Verwundbarkeit gegenüber den Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 untersucht, während bereits ausgeschlossen werden kann, dass die Schwachstellen CVE-2015-1787, CVE-2015-0207, CVE-2015-0208, CVE-2015-0285, CVE-2015-0290 und CVE-2015-0291, die mit den letzten OpenSSL Versionen ebenfalls behoben wurden, für irgendwelche Cisco Produkte relevant sind. Die Ergebnisse der Analysen werden unter der angegebenen Referenz 'Cisco Security Advisory cisco-sa-20150320-openssl' veröffentlicht.
Update 4: Für Red Hat Enterprise Linux Desktop 6 und 7, Enterprise Linux Server 6 und 7, Enterprise Linux Server 6.6.z EUS, Enterprise Linux HPC Node 6 und 7 sowie Enterprise Linux Workstation 6 und 7 stehen Sicherheitsupdates bereit, die die Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 beheben.
Update 5: Für den Red Hat Storage Server 2.1 steht ein aktualisiertes OpenSSL-Paket zur Behebung der Schwachstellen zur Verfügung, wobei die Schwachstellen CVE-2009-5146 und CVE-2015-0204 nicht aufgelistet werden.
Update 6: Novell stellt für das eDirectory 8.8 SP8 auf den Plattformen Red Hat Enterprise Linux 5, 6 und 7, SUSE Linux Enterprise Server 10, 11 und 12 sowie Windows Server 2008, 2012 und 2012 R2 Sicherheitsupdates zur Behebung der Schwachstellen CVE-2015-0204, CVE-2015-0287, CVE-2015-0289, CVE-2015-0292 und CVE-2015-0293 bereit.
Update 7: Für die Distributionen Fedora 21 und Fedora 22 sowie für Fedora EPEL 7 stehen Sicherheitsupdates auf die Version OpenSSL 1.0.2a zur Behebung der Schwachstellen CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289 und CVE-2015-0293 im Status 'testing' zur Verfügung.
Schwachstellen:
CVE-2009-5146
Speicherleck in TLS Hostname ExtensionCVE-2015-0204
Schwachstelle in OpenSSL ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2015-0209
Use-after-free-Schwachstelle erlaubt Denial-of-Service-AngriffCVE-2015-0286
Segmentierungsfehler-Schwachstelle ASN1_TYPE_cmp erlaubt Denial-of-Service-AngriffCVE-2015-0287
Speicherkorruptions-Schwachstelle in OpenSSL ermöglicht Denial-of-Service-AngriffCVE-2015-0288
Schwachstelle in X509_to_X509_REQ erlaubt Denial-of-ServiceCVE-2015-0289
Schwachstelle in PKCS#7-Verarbeitung ermöglicht Denial-of-Service-AngriffCVE-2015-0292
Schwachstelle in base64-Decoder ermöglicht Denial-of-Service-AngriffCVE-2015-0293
Schwachstelle in SSLv2-Servern ermöglicht Denial-of-Service-Angriff
© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist
auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese
Webseite.