DFN-CERT

Advisory-Archiv

2018-1564: wpa_supplicant, hostapd: Eine Schwachstelle ermöglicht einen Denial-of-Service-Angriff

Historie:

Version 1 (2018-08-10 15:04)
Neues Advisory
Version 2 (2018-08-15 12:26)
Fedora stellt für Fedora 27 und 28 die Pakete 'wpa_supplicant-2.6-14.fc27' und 'wpa_supplicant-2.6-17.fc28' im Status 'testing' zur Behebung der Schwachstelle zur Verfügung. FreeBSD behebt die Schwachstellen in den stabilen Releases 10.4 und 11.1 und stellt darüber hinaus die Versionen 10.4-RELEASE-p11, 11.1-RELEASE-p13 und 11.2-RELEASE-p2 als Sicherheitsupdates bereit.
Version 3 (2018-08-20 19:01)
Canonical stellt für Ubuntu 14.04, Ubuntu 16.04 und Ubuntu 18.04 Sicherheitsupdates für 'wpa_supplicant' und 'hostapd' zur Behebung der Schwachstelle zur Verfügung.
Version 4 (2018-10-26 17:33)
Für SUSE Linux Enterprise Module for Basesystem 15 steht ein Sicherheitsupdate für 'wpa_supplicant' bereit, um diese Schwachstelle und fünf weitere Fehler zu beheben.
Version 5 (2018-10-29 11:09)
Für openSUSE Leap 15.0 steht ein Sicherheitsupdate für 'wpa_supplicant' zur Behebung der Schwachstelle bereit. Für openSUSE Leap 15.0 und 42.3 sowie für openSUSE Backports SLE 15 stehen außerdem Sicherheitsupdates für 'hostapd' zur Verfügung.
Version 6 (2018-10-30 18:10)
Red Hat stellt im Rahmen der Veröffentlichung von Red Hat Enterprise Linux 7.6 Sicherheitsupdates für 'wpa_supplicant' bereit, mit denen die Schwachstelle behoben wird. Die Updates stehen damit unter anderem für Red Hat Enterprise Linux Server, Workstation und Desktop 7, für Red Hat Enterprise Linux for Scientific Computing 7 und Red Hat Enterprise Linux for ARM 64 7 zur Verfügung.
Version 7 (2018-11-06 15:23)
Für Oracle Linux 7 steht ein Sicherheitsupdate für 'wpa_supplicant' zur Behebung einer Schwachstelle und mehrerer Fehler zur Verfügung.

Betroffene Software

Sicherheit

Betroffene Plattformen

Linux
Oracle
UNIX

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann mit speziell präparierten 'EAPOL-Key Frame' Daten (Extensible Authentication Protocol over Local Area Network) den GTK (Group Transient Key) auf einem betroffenen System ohne einen gültigen MIC (Message Integrity Code) verändern und somit einen Denial-of-Service (DoS)-Zustand herbeiführen.

Der Hersteller veröffentlicht einen Patch als Sicherheitsupdate, um die Schwachstelle zu beheben, und informiert, dass 'wpa_supplicant' auf die Version 2.7 gebracht werden sollte, sobald diese Version verfügbar ist.

Debian stellt für Debian Jessie (LTS) ein Sicherheitsupdate zur Behebung der Schwachstelle zur Verfügung.

Schwachstellen:

CVE-2018-14526

Schwachstelle in wpa_supplicant ermöglicht u. a. einen Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.