2016-0437: OpenSSH: Eine Schwachstelle ermöglicht Ausspähen von Informationen

Historie:

Version 1 (2016-03-10 18:55)

Neues Advisory

Version 2 (2016-03-14 11:30)

Für die Distribution Fedora 24 steht nun ebenfalls ein Sicherheitsupdate auf die Version openssh-7.2p2 im Status 'testing' zur Verfügung.

Version 3 (2016-03-17 13:24)

FreeBSD informiert, dass alle derzeit unterstützten FreeBSD Versionen von der Schwachstelle betroffen sind und stellt Sicherheitsupdates für die Versionen 9.3-STABLE und 10.2-STABLE sowie in Form der Releases bzw. des Release-Kandidaten 9.3-RELEASE-p39, 10.1-RELEASE-p31, 10.2-RELEASE-p14 und 10.3-RC2 bereit.

Version 4 (2016-04-18 13:19)

Für Fedora 22, 23 und 24 stehen Sicherheitsupdates für GSI-OpenSSH in Form der Pakete 'gsi-openssh-6.9p1-8.fc22', 'gsi-openssh-7.2p2-1.fc23' und 'gsi-openssh-7.2p2-2.fc24' im Status 'testing' bereit.

Version 5 (2016-04-28 13:48)

F5 Networks informiert darüber, welche Produkte und Versionen von dieser betroffen sind. Unter anderem ist das BIG-IP Protocol Security Module (PSM) in den Versionen 10.1.0 - 10.2.4 und 11.0.0 - 11.4.1 verwundbar. Der Hersteller hat bisher noch keine Sicherheitsupdates zur Verfügung gestellt.

Version 6 (2016-06-27 12:14)

Für Fedora EPEL 6 und 7 stehen Sicherheitsupdates für 'gsi-openssh' im Status 'testing' bereit, die die Schwachstelle beheben. Zusätzlich werden Sicherheitsupdates für Fedora 23 und 24 veröffentlicht, die 'gsi-openssh' mit dem 'openssh'-Paket synchronisieren.

Betroffene Software

Sicherheit

Betroffene Plattformen

Linux
UNIX

Beschreibung:

Ein entfernter, nicht authentifizierter Angreifer kann durch speziell präparierte Berechtigungsnachweise, die er zum Aufbau einer Verbindung zu einer X11-Oberfläche als Parameter übergibt, beliebigen Programmcode an 'xauth' übergeben. Dadurch kann er Lese- und Schreibzugriff auf alle Dateien des angemeldeten Benutzers erhalten, sich mit lokalen Ports verbinden und weitere Angriffe auf 'xauth' ausführen.

Der Hersteller informiert über die Schwachstelle für OpenSSH mit aktivierter 'X11Forwarding'-Option und behebt diese mit der Programmversion OpenSSH 7.2p2. Für OpenBSD 5.7, 5.8 und 5.9 werden entsprechende Sicherheitsupdates zur Verfügung gestellt. Für Fedora 22 und 23 steht die aktuelle Version als (Backport-)Sicherheitsupdate in Form der Pakete openssh-6.9p1-11.fc22 bzw. openssh-7.2p2-1.fc23 im Status 'pending' bereit.

Schwachstellen:

CVE-2016-3115

Schwachstelle in OpenSSH ermöglicht u. a. das Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.