2018-1564: wpa_supplicant, hostapd: Eine Schwachstelle ermöglicht einen Denial-of-Service-Angriff

Historie:

Version 1 (2018-08-10 15:04)

Neues Advisory

Version 2 (2018-08-15 12:26)

Fedora stellt für Fedora 27 und 28 die Pakete 'wpa_supplicant-2.6-14.fc27' und 'wpa_supplicant-2.6-17.fc28' im Status 'testing' zur Behebung der Schwachstelle zur Verfügung. FreeBSD behebt die Schwachstellen in den stabilen Releases 10.4 und 11.1 und stellt darüber hinaus die Versionen 10.4-RELEASE-p11, 11.1-RELEASE-p13 und 11.2-RELEASE-p2 als Sicherheitsupdates bereit.

Version 3 (2018-08-20 19:01)

Canonical stellt für Ubuntu 14.04, Ubuntu 16.04 und Ubuntu 18.04 Sicherheitsupdates für 'wpa_supplicant' und 'hostapd' zur Behebung der Schwachstelle zur Verfügung.

Version 4 (2018-10-26 17:33)

Für SUSE Linux Enterprise Module for Basesystem 15 steht ein Sicherheitsupdate für 'wpa_supplicant' bereit, um diese Schwachstelle und fünf weitere Fehler zu beheben.

Version 5 (2018-10-29 11:09)

Für openSUSE Leap 15.0 steht ein Sicherheitsupdate für 'wpa_supplicant' zur Behebung der Schwachstelle bereit. Für openSUSE Leap 15.0 und 42.3 sowie für openSUSE Backports SLE 15 stehen außerdem Sicherheitsupdates für 'hostapd' zur Verfügung.

Version 6 (2018-10-30 18:10)

Red Hat stellt im Rahmen der Veröffentlichung von Red Hat Enterprise Linux 7.6 Sicherheitsupdates für 'wpa_supplicant' bereit, mit denen die Schwachstelle behoben wird. Die Updates stehen damit unter anderem für Red Hat Enterprise Linux Server, Workstation und Desktop 7, für Red Hat Enterprise Linux for Scientific Computing 7 und Red Hat Enterprise Linux for ARM 64 7 zur Verfügung.

Version 7 (2018-11-06 15:23)

Für Oracle Linux 7 steht ein Sicherheitsupdate für 'wpa_supplicant' zur Behebung einer Schwachstelle und mehrerer Fehler zur Verfügung.

Version 8 (2019-04-30 11:32)

Für die SUSE Linux Enterprise Produkte Server for SAP 12 SP2, Server 12 SP4, 12 SP3, 12 SP2 LTSS, 12 SP2 BCL, 12 SP1 LTSS und 12 LTSS, Desktop 12 SP4 und 12 SP3 sowie SUSE Enterprise Storage 4 und SUSE OpenStack Cloud 7 stehen Sicherheitsupdates bereit, um die Schwachstelle zu beheben. Zusätzlich zur Schwachstelle wird ein Fehler ohne Sicherheitsrelevanz mittels des verfügbaren Updates adressiert.

Version 9 (2019-05-08 18:37)

Für die Distribution openSUSE Leap 42.3 steht ein Sicherheitsupdate für 'wpa_supplicant' zur Verfügung, um die Schwachstelle und einen nicht sicherheitsrelevanten Fehler zu korrigieren.

Betroffene Software

Sicherheit

Betroffene Plattformen

Netzwerk
Cloud
Linux
Oracle
UNIX

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann mit speziell präparierten 'EAPOL-Key Frame' Daten (Extensible Authentication Protocol over Local Area Network) den GTK (Group Transient Key) auf einem betroffenen System ohne einen gültigen MIC (Message Integrity Code) verändern und somit einen Denial-of-Service (DoS)-Zustand herbeiführen.

Der Hersteller veröffentlicht einen Patch als Sicherheitsupdate, um die Schwachstelle zu beheben, und informiert, dass 'wpa_supplicant' auf die Version 2.7 gebracht werden sollte, sobald diese Version verfügbar ist.

Debian stellt für Debian Jessie (LTS) ein Sicherheitsupdate zur Behebung der Schwachstelle zur Verfügung.

Schwachstellen:

CVE-2018-14526

Schwachstelle in wpa_supplicant ermöglicht u. a. Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.