2016-0360: OpenSSL: Mehrere Schwachstellen ermöglichen u.a. das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2016-03-02 12:30): Neues Advisory
Version 2 (2016-03-02 15:44): Für openSUSE Leap 42.1 stehen Sicherheitsupdates für die Schwachstellen CVE-2015-3197, CVE-2016-0702, CVE-2016-0705, CVE-2016-0797, CVE-2016-0798, CVE-2016-0799 und CVE-2016-0800 bereit. Zudem informiert SUSE, dass die Schwachstellen CVE-2016-0703 und CVE-2016-0704, aus dem OpenSSL Security Advisory 20160301, bereits mit einem Fix für die Schwachstelle CVE-2015-0293 in 2015 behoben wurden.
Version 3 (2016-03-03 14:33): Für SUSE Linux Enterprise Server for SAP 11 SP4 und SUSE Linux Enterprise Desktop 11 SP4 stehen Sicherheitsupdate des Pakets compat-openssl097g zur Behebung der Schwachstellen CVE-2015-3197, CVE-2016-0702, CVE-2016-0705, CVE-2016-0797, CVE-2016-0799 und CVE-2016-0800 bereit. Zudem informiert SUSE, dass die Schwachstellen CVE-2016-0703 und CVE-2016-0704, aus dem OpenSSL Security Advisory 20160301, bereits mit einem Fix für die Schwachstelle CVE-2015-0293 in 2015 behoben wurden.
Version 4 (2016-03-03 19:01): Für openSUSE 13.1 stehen Sicherheitsupdates für die Schwachstellen CVE-2015-3197, CVE-2016-0702, CVE-2016-0705, CVE-2016-0797, CVE-2016-0798, CVE-2016-0799 und CVE-2016-0800 zur Verfügung. Für SUSE Linux Enterprise Server for SAP 12 SP1, SUSE Linux Enterprise Module for Legacy Software 12, SUSE Linux Enterprise Desktop 12 SP1 und SUSE Linux Enterprise Desktop 12 stehen Sicherheitsupdates von compat-openssl098 für die Schwachstellen CVE-2015-3197, CVE-2016-0797, CVE-2016-0799 und CVE-2016-0800 bereit. Zudem informiert SUSE, dass die Schwachstellen CVE-2016-0703 und CVE-2016-0704, aus dem OpenSSL Security Advisory 20160301, bereits mit einem Fix für die Schwachstelle CVE-2015-0293 in 2015 behoben wurden.
Version 5 (2016-03-11 16:46): Für openSUSE Leap 42.1 stehen Sicherheitsupdates für compat-openssl098 zur Behebung der Schwachstellen CVE-2015-3197, CVE-2016-0797, CVE-2016-0799 und CVE-2016-0800 bereit. Zudem wird darüber informiert, dass die Schwachstellen CVE-2016-0703 und CVE-2016-0704, aus dem OpenSSL Security Advisory 20160301, bereits mit einem Fix für die Schwachstelle CVE-2015-0293 in 2015 behoben wurden.
Version 6 (2016-04-18 14:32): Für SUSE OpenStack Cloud 5, SUSE Manager Proxy 2.1 und SUSE Manager 2.1 stehen Sicherheitsupdates zur Behebung der Schwachstellen CVE-2015-3197, CVE-2016-0702, CVE-2016-0705, CVE-2016-0797, CVE-2016-0799 und CVE-2016-0800 bereit. Die Schwachstellen CVE-2016-0703 und CVE-2016-0704 aus dem OpenSSL Security Advisory 20160301 wurden bereits mit einem Fix für die Schwachstelle CVE-2015-0293 behoben.

Betroffene Software

Sicherheit

Betroffene Plattformen

Netzwerk
Cloud
Linux

Beschreibung:

Mehrere Schwachstellen in OpenSSL ermöglichen einem entfernten, nicht authentifizierten Angreifer das Umgehen von Sicherheitsvorkehrungen, Ausspähen von Informationen und das Durchführen von Denial-of-Service (DoS)-Angriffen.

Für die SUSE Linux Enterprise Produkte Software Development Kit 12 und 12 SP1, Server 11 Security, 12 und 12 SP1, sowie Desktop 12 und 12 SP1 stehen Sicherheitsupdates zur Verfügung, die im Wesentlichen jene Schwachstellen adressieren, die mit den aktuellen OpenSSL Sicherheitsupdates in Form der neuen Versionen 1.0.2g und 1.0.1s behoben wurden, zusätzlich aber auch die Schwachstellen CVE-2015-0293 und CVE-2015-3197, die von OpenSSL bereits mit früheren Versionen geschlossen wurden. Für die SUSE Linux Enterprise Produkte Software Development Kit 11 SP4, Server 11 SP4, SP2 LTSS und SP3 LTSS, Desktop 11 SP4, sowie Studio Onsite 1.3 stehen Sicherheitsupdates bereit und adressieren damit die Schwachstellen CVE-2015-3197, CVE-2016-0702, CVE-2016-0703, CVE-2016-0705, CVE-2016-0797, CVE-2016-0799 und CVE-2016-0800 (DROWN).

Mit diesem Update wird das SSLv2-Protokoll als Standardvorgabe abgeschaltet.

Schwachstellen:

CVE-2015-0293

Schwachstelle in SSLv2-Servern ermöglicht Denial-of-Service-Angriff

CVE-2015-3197

Schwachstelle in OpenSSL ermöglicht das Umgehen von Sicherheitsmaßnahmen

CVE-2016-0702

Schwachstelle in OpenSSL ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2016-0703

Schwachstelle in OpenSSL ermöglicht Ausspähen von Informationen