2019-0248: cURL, libcurl: Mehrere Schwachstellen ermöglichen u. a. einen Denial-of-Service-Angriff

Historie:

Version 1 (2019-02-06 14:08): Neues Advisory
Version 2 (2019-02-06 18:33): Für Fedora 29 steht ein Backport-Sicherheitsupdate zur Behebung der Schwachstellen im Status 'pending' bereit. Die Schwachstellen werden ebenfalls für die SUSE Linux Enterprise Produkte Desktop 12 SP3, Server 12 LTSS, 12 SP1 LTSS, 12 SP2 BCL, 12 SP2 LTSS, 12 SP3 und Server for SAP 12 SP2 sowie SUSE OpenStack Cloud 7, SUSE Enterprise Storage 4, SUSE CaaS Platform ALL und 3.0 und OpenStack Cloud Magnum Orchestration 7 adressiert.
Version 3 (2019-02-07 10:19): Canonical stellt für Ubuntu 18.10, 18.04 LTS, 16.04 LTS und 14.04 LTS Sicherheitsupdates zur Behebung der Schwachstellen bereit.
Version 4 (2019-02-07 11:20): Für Debian Stretch (stable) steht ein Sicherheitsupdate zur Behebung der Schwachstelle bereit.
Version 5 (2019-02-11 19:01): Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate zur Behebung der Schwachstellen in 'curl' bereit.
Version 6 (2019-02-14 17:00): Für openSUSE Leap 42.3 und openSUSE Leap 15.0 stehen Sicherheitsupdates für das Paket 'curl' bereit, um diese Schwachstellen zu beheben.
Version 7 (2019-04-12 15:12): SUSE veröffentlicht für SUSE Linux Enterprise Server for SAP 12 SP1 ein Sicherheitsupdate für 'curl', um die drei Schwachstellen zu beheben.

Betroffene Software

Office
Systemsoftware

Betroffene Plattformen

Netzwerk
Cloud
Apple
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in cURL ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausspähen von Informationen sowie die Durchführung von Denial-of-Service (DoS)- und möglicherweise weiteren Angriffen.

Der Hersteller stellt die cURL Version 7.64.0 und einzelne Quellcodepatches zur Behebung der Schwachstellen zur Verfügung.

Für die SUSE Linux Enterprise Module für Basesystem und Open Buildservice Development Tools 15 stehen bereits Sicherheitsupdates zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2018-16890

Schwachstelle in libcurl ermöglicht u. a. Ausspähen von Informationen

CVE-2019-3822

Schwachstelle in libcurl ermöglicht u. a. Denial-of-Service-Angriff

CVE-2019-3823