2019-2584: libyang: Zwei Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2019-12-11 11:51): Neues Advisory
Version 2 (2019-12-23 14:56): Red Hat stellt Sicherheitsupdates für Red Hat Enterprise Linux 8 und 8.1 EUS zur Verfügung, um die Schwachstellen zu schließen.
Version 3 (2019-12-27 10:57): Für Oracle Linux 8 (aarch64, x86_64) stehen Sicherheitsupdates für libyang bereit, um die referenzierten Schwachstellen zu beheben.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Es existieren zwei Schwachstellen in libyaang vor Version 1.0-r5, die es einem entfernten, nicht authentisierten Angreifer mit Hilfe speziell präparierter YANG-Dateien ermöglichen einen Denial-of-Service (DoS)-Angriff durchzuführen oder beliebigen Programmcode auszuführen

Für Fedora 30 und 31 stehen die Pakete 'libyang-1.0.101-1.fc30' und 'libyang-1.0.101-1.fc31' im Status 'testing' als Sicherheitsupdates bereit, um die Schwachstellen zu schließen.

Schwachstellen:

CVE-2019-19333

Schwachstelle in libyang ermöglicht Ausführen beliebigen Programmcodes

CVE-2019-19334