2023-0284: OpenSSL: Mehrere Schwachstellen ermöglichen u. a. das Ausspähen von Informationen

Historie:

Version 1 (2023-02-08 13:44): Neues Advisory
Version 2 (2023-02-10 08:15): Für Fedora 36 und 37 stehen Sicherheitsupdates in Form von 'openssl-3.0.8-1'-Paketen im Status 'testing' bereit, um die Schwachstellen zu beheben.
Version 3 (2023-02-28 16:48): Für Red Hat Enterprise Linux for x86_64 / ARM 64 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'openssl' bereit, um die Schwachstellen zu beheben.
Version 4 (2023-03-01 08:49): Für Oracle Linux 9 (x86_64, aarch64) stehen korrespondierende Sicherheitsupdates für 'openssl' bereit, um die Schwachstellen zu beheben.
Version 5 (2023-03-02 08:50): Für Oracle Linux 9 (x86_64, aarch64) stehen die entsprechenden Ksplice-Pakete als Sicherheitsupdates für 'openssl' bereit, um die Schwachstellen zu beheben.
Version 6 (2023-03-15 13:14): Für Red Hat Enterprise Linux for x86_64 / ARM 64 - Extended Update Support 9.0 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.0 (aarch64) stehen Sicherheitsupdates für 'openssl' bereit, um die Schwachstellen zu beheben.

Betroffene Software

Sicherheit

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Der Hersteller informiert über die Schwachstellen und stellt als frei verfügbare Sicherheitsupdates die Versionen OpenSSL 3.0.8 und 1.1.1t sowie für Kunden des Premium-Supports die Version 1.0.2zg bereit.

Der Versionszweig OpenSSL 1.1.x ist dabei nur von CVE-2022-4304, CVE-2023-0215, CVE-2022-4450 und CVE-2023-0286 betroffen.

Für openSUSE Leap 15.4, für SUSE Linux Enterprise Desktop, High Performance Computing, Module for Basesystem, Server und Server for SAP Applications 15 SP4 sowie für SUSE Manager Proxy, SUSE Manager Retail Branch Server und SUSE Manager Server 4.3 stehen Sicherheitsupdates bereit, mit denen die Schwachstellen in 'openssl-3' adressiert werden.