2016-0285: GNU Lib C: Zwei Schwachstellen ermöglich u.a. das Ausführen beliebigen Programmcodes mit Benutzerrechten

Historie:

Version 1 (2016-02-17 17:15)

Neues Advisory

Version 2 (2016-02-19 11:11)

Cisco veröffentlicht ein Security Advisory, um darüber zu informieren, dass viele Cisco Produkte eine Version der glibc verwenden, die von der Schwachstelle CVE-2015-7547 betroffen sein kann. Die Analysen bezüglich der Auswirkung auf die Cisco Produkte ist allerdings noch nicht abgeschlossen. Bisher ist u.a. die Verwundbarkeit der Cisco FireSIGHT System Software und Cisco Identity Services Engine (ISE) bestätigt. Das referenzierte Security Advisory wird aktualisiert, sobald neue Erkenntnisse vorliegen. Cisco plant die Bereitstellung von Sicherheitsupdates. F5 Networks veröffentlicht Informationen zu der Verwundbarkeit der F5 Produkte und Versionen durch die Schwachstelle CVE-2015-7547. Während das BIG-IP Protocol Security Module mit keiner verwundbaren Version aufgeführt wird, sind die aktuellsten Versionen (12.0.0) einiger anderer BIG-IP Produkte eventuell über die Schwachstelle angreifbar, die Analysen diesbezüglich dauern noch an.

Version 3 (2016-02-19 17:04)

openSUSE stellt für die Distribution openSUSE 13.1 Sicherheitsupdates zur Behebung der Schwachstelle CVE-2015-7547 bereit.

Version 4 (2016-02-22 11:06)

Für Red Hat Enterprise Virtualization 3 wurden aktualisierte rhev-hypervisor Pakete als Sicherheitsupdates zur Behebung der Schwachstelle CVE-2015-7547 veröffentlicht.

Version 5 (2016-02-22 19:00)

VMware informiert darüber, dass die Produkte VMware ESXi Hypervisor und VMware Virtual Appliances von der kritischen 'glibc'-Schwachstelle CVE-2015-7547 betroffen sind und stellt teilweise Sicherheitsupdates oder Workarounds zur Verfügung. Für VMware ESXi 6.0 befindet sich ein Sicherheitsupdate im Status 'pending', für VMware ESXi ist der Patch ESXi550-201602401-SG verfügbar, VMware ESXi 5.1 und 5.0 sind nicht betroffen. Für VMware Virtual Appliances verweist der Hersteller auf den Knowledge Base Artikel 2144032.

Version 6 (2016-02-23 09:54)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören u.a. die Cisco WebEx Meetings Server Version 1.x und 2.x, der Cisco Unified Communications Manager sowie Cisco Unity Connection. Weiterhin stellt Cisco für erste Produkte Planungsinformationen zu der Verfügbarkeit eines Sicherheitsupdates bereit.

Version 7 (2016-02-24 14:53)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören u.a. der Cisco Prime Data Center Network Manager, der Cisco Telepresence Server und weitere Produkte aus der Serie, Cisco Edge sowie verschiedene Cisco Wireless LAN Controller, die mit der Firmware 8.1 und später laufen. Cisco informiert außerdem darüber, dass Cisco Advanced Malware Protection (AMP) Public Cloud von der Schwachstelle betroffen ist und ein Patch existiert. Cisco Advanced Malware Protection (AMP) Private Cloud ist betroffen und wird voraussichtlich mit dem geplanten Update auf Version 2.2 gepatcht. VMware aktualisiert sein Security Advisory unter VMSA-2016-0002.1 um die Verfügbarkeit des ESXi 6.0 Patches ESXi600-201602401-SG.

Version 8 (2016-02-25 15:01)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören u.a. die Netzwerk-Switches Cisco Nexus 3000 (NX-OS 6.0(2) und später) und Nexus 9000 (standalone mit NX-OS) sowie die Intercloud-Architektur Nexus 1000V und verschiedene Produkte, die das Betriebssystem Cisco IOS-XE einsetzen: Catalyst 3k, Catalyst 4k, AIR-CT5760 und Cisco RF Gateway 10 (RFGW-10). Cisco informiert außerdem über neue Veröffentlichungszeitpunkte der Sicherheitsupdates für verschiedene betroffene Geräte und darüber, welche Produkte nicht von der Schwachstelle betroffen sind.

Version 9 (2016-02-26 13:13)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören u.a. Cisco Connected Grid Router, Cisco Expressway, Cisco Emergency Responder, Cisco MediaSense, Cisco Prime Collaboration, Cisco Unified Computing Systems und der Cisco Video Surveillance Media Server. Cisco informiert außerdem über neue Veröffentlichungszeitpunkte der Sicherheitsupdates für verschiedene betroffene Geräte und darüber, welche Produkte nicht von der Schwachstelle betroffen sind.

Version 10 (2016-03-01 13:30)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören u.a. Cisco Application Policy Infrastructure Controller Enterprise Module (APIC-EM, Patch für 1.1 erwartet im März 2016), Cisco Mobility Services Engine (MSE), Cisco Nexus 3100 und 3200 (die Cisco Nexus 3000-Serie ist mittlerweile als 'nicht verwundbar' eingestuft), Cisco Prime Data Center Network Manager und Cisco IOS-XE im Versionszweig 16.2.x. Für Cisco Identity Sercices Engine (ISE) wird das Veröffentlichungsdatum des Patches 2.0 P3 (April 2016) bekannt gegeben.

Version 11 (2016-03-02 12:30)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören u.a. Cisco Nexus 9000 (auch im Application Centric Infrastructure (ACI)-Modus), Cisco Unified Computing System (UCS) Director und Cisco Unified Communications Domain Manager.

Version 12 (2016-03-04 13:33)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt für weitere Produkte die Verwundbarkeit durch die Schwachstelle CVE-2015-7547. Zu diesen Produkten gehören Cisco Policy Suite und verschiedene Geräte der Cisco Nexus Netzwerk-Switch Serie. Cisco weist darauf hin, dass alle Nexus-Geräte, die mit einer Programmversion der NX-OS Software vor dem ersten Fix und im Versionszweig 7.x betrieben werden, von der Schwachstelle betroffen sind. Nicht betroffen sind die Programmversionen NX-OS 6.0(2)Ux(x).

Version 13 (2016-03-07 16:09)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt die Veröffentlichungsdaten der Updates für verschiedene Produkte, die die Schwachstelle CVE-2015-7547 beheben. Zu diesen Produkten gehören Cisco FireSIGHT System Software, Cisco Mobility Services Engine (MSE), Cisco Nexus 1000V Intercloud, verschiedene Produkte aus den Produktfamilien Cisco Telepresence und Cisco Wireless LAN Controller sowie Cisco IOS XE 16.2.x. Cisco weist darauf hin, dass die betroffenen Systeme der Serie Cisco Unified Computing System (UCS) ADA bereits aktualisiert wurden.

Version 14 (2016-04-07 15:01)

Cisco aktualisiert die referenzierte Sicherheitsmeldung und bestätigt die Veröffentlichungsdaten der Sicherheitsupdates (CVE-2015-7547) für fast alle betroffenen Produkte. Für verschiedene Cisco Nexus Netzwerk Switches und Cisco WebEx Meetings Server stehen bereits Sicherheitsupdates zur Verfügung. Andere Sicherheitsupdates können heruntergeladen oder über das Red Hat 'yum' Werkzeug installiert werden, weitere sind in Planung. Cisco Unified Communications Manager (UCM) ist weiterhin verwundbar.

Version 15 (2016-06-24 11:58)

Cisco informiert mit Aktualisierung der referenzierten Sicherheitsmeldung darüber, dass Cisco Unified Contact Center Express - Live Data Server verwundbar ist und finalisiert die Auflistung der Fixed Releases.

Betroffene Software

Systemsoftware
Virtualisierung

Betroffene Plattformen

Hardware
Netzwerk
Cisco
F5
Linux
Microsoft
VMware
Virtualisierung

Beschreibung:

Zwei Schwachstellen in GNU Lib C ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausführen beliebigen Programmcodes mit Benutzerrechten und das Durchführen eines Denial-of-Service-Angriffs.

Red Hat stellt Sicherheitsupdates für die Red Hat Enterprise Linux Produkte Desktop 7, HPC Node 7, HPC Node EUS 7.2, Server 7, Server EUS 7.2, Server AUS 7.2 und Workstation 7 zur Verfügung.

Die schwerwiegendere Schwachstelle CVE-2015-7547 wird über Sicherheitsupdates für die Red Hat Enterprise Linux Produkte Desktop 6, HPC Node 6 und EUS 7.1, Workstation 6 sowie Server 6, EUS 6.6.z, EUS 6.7.z, EUS 7.1, AUS 6.2, AUS 6.4 und AUS 6.5 behoben. Canonical stellt zur Behebung dieser Schwachstelle für die Distributionen Ubuntu 15.10, Ubuntu 14.04 LTS und Ubuntu 12.04 LTS Sicherheitsupdates in Form aktualisierter eglibc-Pakete und glibc-Pakete bereit und für Fedora 23 steht das Paket glibc-2.22-9.fc23 im Status 'stable' zur Verfügung.

Schwachstellen:

CVE-2015-5229

Schwachstelle in GNU Lib C ermöglicht Denial-of-Service-Angriff

CVE-2015-7547

Schwachstelle in GNU Lib C ermöglicht u. a. das Ausführen beliebigen Programmcodes mit Benutzerrechten

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.