2015-1907: Bibliothek libpng: Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe

Historie:

Version 1 (2015-12-10 17:01): Neues Advisory
Version 2 (2015-12-21 13:22): F5 Networks informiert darüber, welche F5 Produkte und Versionen von der Schwachstelle CVE-2015-8126 betroffen sind. Unter anderem sind dies alle unterstützten Versionen von BIG-IP PSM (10.1.0 - 10.2.4 und 11.0.0 - 11.4.1). F5 Networks stellt für BIG-IP PSM derzeit noch keinen Patch zur Verfügung.
Version 3 (2016-02-08 12:13): Für Fedora 22 und 23 sowie EPEL 7 stehen Sicherheitsupdates in Form der Pakete mingw-libpng-1.6.21-1.fc22, mingw-libpng-1.6.21-1.fc23 und mingw-libpng-1.6.21-1.el7 im Status 'testing' zur Verfügung. Die früheren Sicherheitsupdates FEDORA-2015-97fc1797fa (mingw-libpng-1.6.19-1.fc22) und FEDORA-2015-13668fff74 (mingw-libpng-1.6.19-1.fc23) befinden sich wie die oben genannten Sicherheitsupdates für die Bibliothek libpng auf Version 1.5.25 im Status 'stable'.
Version 4 (2016-03-08 12:43): F5 Networks weist darauf hin, dass durch die unvollständige Behebung der Schwachstelle CVE-2015-8126 eine weitere Schwachstelle (CVE-2015-8472) entstanden ist und informiert darüber, welche Produkte und Programmversionen von dieser betroffen sind. Unter anderem ist BIG-IP Protocol Security Module in den Versionen 10.1.0 - 10.2.4 und 11.0.0 - 11.4.1 von beiden Schwachstellen betroffen. Es stehen weiterhin keine Sicherheitsupdates zur Verfügung.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Mehrere zunächst unter CVE-2015-8126 und später ergänzend unter CVE-2015-8472 zusammengefasste Pufferüberlauf-Schwachstellen erlauben einem entfernten, nicht authentisierten Angreifer die Durchführung von Denial-of-Service (DoS)- und möglicherweise weiteren Angriffen.

Für Fedora 22 und 23 stehen Sicherheitsupdates auf das neue Upstream Release 1.5.25 in Form der Pakete libpng15-1.5.25-1.fc22 und libpng15-1.5.25-1.fc23 im Status 'testing' zur Verfügung.

Schwachstellen:

CVE-2015-8126

Schwachstellen in libpng erlauben Denial-of-Service-Angriffe

CVE-2015-8472