2018-1887: HylaFAX, HylaFAX+: Zwei Schwachstellen ermöglichen die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-09-20 13:00)

Neues Advisory

Version 2 (2018-09-21 16:41)

Das offizielle Release HylaFAX 6.0.7 zur Behebung der Schwachstellen steht bereit. Für Debian Stretch 9.5 (stable) steht ein Sicherheitsupdate für das Paket 'hylafax' bereit.

Version 3 (2018-09-24 13:05)

Für openSUSE Backports SLE 15, Leap 15.0 und Leap 42.3 stehen Sicherheitsupdates für das Paket 'hylafax+' auf Version 5.6.1 bereit. Für Debian 8.11 Jessie (oldstable) steht ein Backport-Sicherheitsupdate für das Paket 'hylafax' bereit.

Betroffene Software

Office

Betroffene Plattformen

Linux

Beschreibung:

Zwei Schwachstellen ermöglichen einem entfernten, nicht authentisierten Angreifer durch den Versand manipulierter Faxe, die Ausführung beliebigen Programmcodes.

Die hier aufgeführten Schwachstellen ähneln laut Hersteller den kürzlich unter dem Namen 'Faxsploit' veröffentlichen Schwachstellen CVE-2018-5924 und CVE-2018-5925, welche Geräte der Marke HP betreffen und sich zur kompletten Systemübernahme eignen. Die Anpassung des dort verfügbaren Exploits auf die Software HylaFAX+ ist laut Entwickler nicht schwer. Es wird daher empfohlen, das Sicherheitsupdate zeitnah zu installieren oder das Empfangen von Faxen (faxgetty) zu deaktivieren.

Das offizielle Release HylaFAX+ Version 5.6.1 steht zur Behebung der Schwachstellen bereit.

Für Fedora 27, 28 EPEL 6 und 7 stehen Sicherheitsupdates in Form der Pakete 'hylafax+-5.6.1-1.fc27', 'hylafax+-5.6.1-1.fc28', 'hylafax+-5.6.1-1.el6' und 'hylafax+-5.6.1-1.el7' im Status 'testing' bereit.

Schwachstellen:

CVE-2018-17141

Schwachstelle in HylaFAX und HylaFAX+ ermöglicht Ausführung beliebigen Programmcodes

HYLAFAX-A

Schwachstelle in HylaFAX und HylaFAX+ ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.