2022-2785: FreeRADIUS: Mehrere Schwachstellen ermöglichen u. a. einen Denial-of-Service-Angriff

Historie:

Version 1 (2022-12-08 15:31): Neues Advisory
Version 2 (2022-12-27 16:55): Für SUSE CaaS Platform 4.0, SUSE Enterprise Storage 6, 7 und 7.1, SUSE Linux Enterprise High Performance Computing 15 ESPOS / LTSS, 15 SP1 ESPOS / LTSS, 15 SP2 LTSS und 15 SP3 ESPOS / LTSS, SUSE Linux Enterprise Server 12 SP5, 15 LTSS, 15 SP1 BCL / LTSS, 15 SP2 LTSS und 15 SP3 LTSS, SUSE Linux Enterprise Server for SAP 12 SP5, 15, 15 SP1, 15 SP2 und 15 SP3, SUSE Linux Enterprise Software Development Kit 12 SP5, SUSE Linux Enterprise Realtime Extension 15 SP3, SUSE Manager Proxy 4.1 und 4.2, SUSE Manager Retail Branch Server 4.1 und 4.2, SUSE Manager Server 4.1 und 4.2 sowie openSUSE Leap 15.3 stehen Sicherheitsupdates für 'freeradius-server' bereit, um die drei Schwachstellen zu beheben.
Version 3 (2022-12-28 09:27): Für SUSE Linux Enterprise High Performance Computing, SUSE Linux Enterprise Module for Server Applications, SUSE Linux Enterprise Server und SUSE Linux Enterprise Server for SAP Applications jeweils in Version 15 SP4, SUSE Manager Proxy, SUSE Manager Retail Branch Server und SUSE Manager Server jeweils in Version 4.3 sowie für openSUSE Leap 15.4 stehen ebenfalls Sicherheitsupdates zur Behebung der Schwachstellen in 'freeradius-server' zur Verfügung.
Version 4 (2023-01-24 08:55): Für SUSE Linux Enterprise Server 12 SP4 LTSS, SUSE Linux Enterprise Server for SAP 12 SP4 sowie SUSE OpenStack Cloud 9 und Cloud Crowbar 9 stehen Sicherheitsupdates für 'freeradius-server' zur Behebung der referenzierten Schwachstellen bereit.
Version 5 (2023-01-25 17:27): Für SUSE Linux Enterprise Server 12 SP2 BCL steht ein Sicherheitsupdate für 'freeradius-server' zur Behebung der referenzierten Schwachstellen bereit.
Version 6 (2023-02-27 09:03): Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'freeradius' in Version 3.0.17+dfsg-1.1+deb10u2 bereit, um die Schwachstellen zu beheben.
Version 7 (2023-05-09 18:49): Für Red Hat CodeReady Linux Builder for x86_64 / ARM 64 9 (x86_64, aarch64) und Red Hat Enterprise Linux for x86_64 / ARM 64 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'freeradius' bereit, um die Schwachstellen zu beheben. Die Sicherheitsupdates werden im Kontext des Red Hat Enterprise Linux 9.2 Releases veröffentlicht.
Version 8 (2023-05-16 18:49): Für Red Hat Enterprise Linux for x86_64 / ARM 64 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'freeradius:3.0' bereit, um die Schwachstellen zu beheben. Die Sicherheitsupdates werden im Kontext des Red Hat Enterprise Linux 8.8 Releases veröffentlicht.

Betroffene Software

Server
Sicherheit

Betroffene Plattformen

Netzwerk
Cloud
Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen und Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für Fedora 36 steht ein Sicherheitsupdate in Form des Pakets 'freeradius-3.0.26-1.fc36' im Status 'testing' bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2022-41859

Schwachstelle in FreeRADIUS ermöglicht Ausspähen von Informationen

CVE-2022-41860

Schwachstelle in FreeRADIUS ermöglicht Denial-of-Service-Angriff

CVE-2022-41861