2019-1289: Aubio: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2019-06-25 16:27): Neues Advisory
Version 2 (2019-06-25 18:44): Für openSUSE Backports SLE 15 steht ein Sicherheitsupdate für 'aubio' zur Behebung der Schwachstellen bereit.
Version 3 (2019-08-05 12:04): Für Fedora 29 und 30 stehen Sicherheitsupdates in Form von 'aubio-0.4.9-1'-Paketen im Status 'testing' zur Verfügung, um die Schwachstellen zu beheben.
Version 4 (2019-08-07 15:04): Für openSUSE Leap 15.0 stehen Backport-Sicherheitsupdates für das Paket 'aubio' bereit. Dabei werden die Schwachstellen CVE-2018-19802, CVE-2019-1010222, CVE-2019-1010223 und CVE-2019-1010224 referenziert und letztere in der Beschreibung aufgeführt. Laut National Vulnerability Database (NVD) sollen anstelle von CVE-2019-1010222, CVE-2019-1010223 und CVE-2019-1010224 aber CVE-2018-19800, CVE-2018-19801 und CVE-2018-19802 verwendet werden.
Version 5 (2019-08-13 18:12): Für openSUSE Backports SLE 15 stehen Sicherheitsupdates für das Paket 'aubio' bereit. Dabei werden wie für openSUSE Leap 15.0 die Schwachstellen CVE-2018-19802, CVE-2019-1010222, CVE-2019-1010223 und CVE-2019-1010224 referenziert und letztere in der Beschreibung aufgeführt. Die Schwachstellen CVE-2019-1010222, CVE-2019-1010223 und CVE-2019-1010224 gelten allerdings als 'rejected', es sollen stattdessen CVE-2018-19800, CVE-2018-19801 und CVE-2018-19802 verwendet werden.
Version 6 (2020-01-29 13:43): Für openSUSE Leap 15.1 stehen erneut Sicherheitsupdates für das Paket 'aubio' bereit. Dabei werden die Schwachstellen CVE-2019-1010222, CVE-2019-1010223 und CVE-2019-1010224 referenziert und letztere in der Beschreibung aufgeführt. Die Schwachstellen CVE-2019-1010222, CVE-2019-1010223 und CVE-2019-1010224 gelten allerdings als 'rejected', es sollen stattdessen CVE-2018-19800, CVE-2018-19801 und CVE-2018-19802 verwendet werden.

Betroffene Software

Office
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann mehrere Schwachstellen ausnutzen, durch die es zu Pufferüberläufen (Buffer Overflows) oder Speicherfehlern (NULL Pointer Dereferences) kommt, um möglicherweise beliebigen Programmcode ausführen bzw. verschiedene Denial-of-Service (DoS)-Angriffe durchzuführen.

Die Schwachstellen wurden vom Hersteller mit Version 0.4.9 (2018-12-19) behoben.

Für openSUSE Leap 42.3, openSUSE Leap 15.0 und openSUSE Leap 15.1 stehen Backport-Sicherheitsupdates für das Paket 'aubio' zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2018-19800

Schwachstelle in Aubio ermöglicht u. a. Ausführung beliebigen Programmcodes

CVE-2018-19801

Schwachstelle in Aubio ermöglicht Denial-of-Service-Angriff

CVE-2018-19802