2015-0598: cURL: Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe und das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2015-04-23 16:34): Neues Advisory
Version 2 (2015-04-29 16:12): Für die Distributionen openSUSE 13.1 und openSUSE 13.2 stehen Sicherheitsupdates zur Verfügung.
Version 3 (2015-06-01 19:32): F5 Networks informiert über die Verwundbarkeit verschiedener BIG-IP Produkte. Unter anderem sind alle BIG-IP PSM Versionen verwundbar gegenüber den Schwachstellen CVE-2015-3143 und CVE-2015-3148, während für die Schwachstellen CVE-2015-3144 und CVE-2015-3145 keine Verwundbarkeit festgestellt wurde.

Betroffene Software

Office
Sicherheit
Systemsoftware

Betroffene Plattformen

Hardware
Netzwerk
F5
Apple
Linux
Microsoft
UNIX

Beschreibung:

Mehrere Schwachstellen in cURL ermöglichen einem entfernten, nicht authentifizierten Angreifer Sicherheitsvorkehrungen zu umgehen oder Denial-of-Service-Angriffe durchzuführen.

Das Projekt cURL hat die Version 7.42.0 von cURL bzw. libcurl bereitgestellt, um die Schwachstellen zu beheben. Debian stellt Backport-Sicherheitsupdates der cURL-Pakete in den Versionen 7.26.0-1+wheezy13 für Debian 7.8 (Wheezy) und 7.38.0-4+deb8u1 für Debian 8.0 (Jessie) zur Verfügung. Für Fedora 20, 21 und 22 stehen ebenfalls Backport-Sicherheitsupdates mit Status 'testing' in den Versionen curl-7.32.0-20.fc20, curl-7.37.0-14.fc21 und curl-7.40.0-3.fc22 bereit.

Schwachstellen:

CVE-2015-3143

Schwachstelle in cURL ermöglicht das Umgehen von Sicherheitsvorkehrungen

CVE-2015-3144

Schwachstelle in cURL ermöglicht Denial-of-Service-Angriff

CVE-2015-3145