2022-2153: lighttpd: Zwei Schwachstellen ermöglichen einen Denial-of-Service-Angriff

Historie:

Version 1 (2022-09-29 12:13): Neues Advisory
Version 2 (2022-09-29 18:13): Für openSUSE Backports SLE 15 SP3 und openSUSE Backports SLE 15 SP4 stehen Sicherheitsupdates für 'lighttpd' auf Version 1.4.66 bereit, um die Schwachstelle CVE-2022-37797 zu beheben.
Version 3 (2022-09-30 09:26): Für Fedora 35 und Fedora EPEL 8 stehen Sicherheitsupdates in Form der Pakete 'lighttpd-1.4.67-1.fc35' und 'lighttpd-1.4.67-1.el8' im Status 'testing' bereit, um die Schwachstelle CVE-2022-41556 zu beheben. 'lighttpd' wird damit auf Version 1.4.67 aktualisiert.
Version 4 (2022-10-04 09:15): Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'lighttpd' in Version 1.4.53-4+deb10u3 bereit, um die Schwachstelle CVE-2022-37797 zu beheben.
Version 5 (2022-10-04 10:01): Für openSUSE Backports SLE 15 SP3 und 15 SP4 stehen Sicherheitsupdates für 'lighttpd' bereit, um die Schwachstelle CVE-2022-41556 zu beheben. Das Paket 'lighttpd' wird damit auf Version 1.4.67 aktualisiert.

Betroffene Software

Server

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für Debian 11 Bullseye (stable) steht Version 1.4.59-1+deb11u2 von 'lighttpd' als Sicherheitsupdate bereit, um die beiden Schwachstellen zu beheben.

Schwachstellen:

CVE-2022-37797

Schwachstelle in lighttpd ermöglicht Denial-of-Service-Angriff

CVE-2022-41556