direkt zum Inhalt springen

direkt zum Hauptnavigationsmenü

Sie sind hier

TU Berlin

Inhalt des Dokuments

Um diesen RSS Feed zu abonnieren, müssen Sie die Adresse des folgenden Links in Ihrer RSS Feed Steuerung übernehmen. RSS abonnieren

DFN-CERT: Informationen über Schwachstellen
Neueste Schwachstellen
Ein entfernter, nicht authentisierter Angreifer kann zwei Schwachstellen in dnsdist ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen oder die Sicherheitsvorkehrung der Zugriffskontrolllisten (ACLs) für dnsdist auszuhebeln. Die erstgenannte Schwachstelle betrifft nur 32-Bit-Systeme. Von der zweiten Schwachstelle ist nur dnsdist 1.1.0 betroffen.

Der Hersteller hat diese Schwachstellen mit der dnsdist Version 1.2.0 behoben und stellt Minimalpatches für Benutzer der Version 1.1.0 zur Verfügung, die das Update auf Version 1.2.0 nicht durchführen können.

Für Fedora 25 und 26 sowie Fedora EPEL 7 stehen Sicherheitsupdates Version 1.2.0 im Status 'pending' bereit.
Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in TeX Live ausnutzen, mit Hilfe eines präparierten TeX-Dokumentes, um beliebigen Programmcode auf dem System ausführen, auf welchem dieses durch einen Benutzer kompiliert wird.

Debian stellt für die Distributionen Debian Jessie (stable) und Stretch (testing) Sicherheitsupdates zur Behebung dieser Schwachstelle bereit.
Zwei Schwachstellen in der Bibliothek LibRaw können von einem entfernten, nicht authentisierten Angreifer dazu ausgenutzt werden, beliebigen Programmcode zur Ausführung zu bringen.

Debian stellt für die alte stabile Distribution Jessie (oldstable) sowie die stabile Distribution Stretch (stable) unterschiedliche Backport-Sicherheitsupdates zur Behebung der Schwachstellen bereit.
Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in der XML Security Bibliothek (xmlsec1) ausnutzen, um Informationen auszuspähen oder einen Denial-of-Service (DoS)-Angriff durchzuführen.

Der Entwickler hat die stabile XML Security Library Version 1.2.24 bereitgestellt, in der unter anderem XXE-Angriffe durch die Deaktivierung des Ladens Externer Entitäten durch die XML Utility Anwendung per Voreinstellung verhindert werden sollen.

Red Hat stellt für die Red Hat Enterprise Linux 7 Produktvarianten Server, Server for ARM 7, Workstation, Desktop und Linux for Scientific Computing sowie für Compute Node 7.4 Extended Update Support (EUS) und die Server 7.4 Produktversionen Extended Update Support (EUS), Advanced Update Support (AUS) und Telco Update Support (TUS) Sicherheitsupdates für 'xmlsec1' zur Verfügung.
Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in IBM Java SDK ausnutzen, um den 'Security Manager' zu umgehen und Privilegien zu eskalieren, wodurch dieser die Kontrolle über ein System vollständig übernehmen kann.

IBM informiert über die Schwachstelle in IBM SDK, Java Technology Edition und stellt die Versionen 8 SR4 FP10 (8.0.4.10), 7 Release 1 SR4 FP10 (7.1.4.10), 7 SR10 FP10 (7.0.10.10) und 6 R1 SR8 FP50 (6.1.8.50) als Sicherheitsupdates bereit.
Mehrere Schwachstellen in Apache Tomcat und OpenSSL, welche im Red Hat JBoss Enterprise Web Server verwendet werden, ermöglichen einem entfernten, nicht authentifizierten Angreifer das Umgehen von Sicherheitsvorkehrungen, das Ausspähen von Informationen sowie die Durchführung von Denial-of-Service-Angriffen.

Red Hat stellt für Red Hat Enterprise Linux 6 und 7 mit dem Red Hat JBoss Web Server 2.1.2 Update 1 Sicherheitsupdates für die Komponenten 'tomcat6', 'tomcat7' und 'openssl' des Servers bereit.
Ein lokaler, einfach authentisierter Angreifer kann eine Schwachstelle im Kontext von maskierten Zeichenketten in Augeas ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen oder einen Denial-of-Service (DoS)-Angriff durchzuführen.

Der Hersteller stellt einen Patch zur Verfügung und behebt die Schwachstelle in Version 1.8.1 der Software.

Canonical stellt für die Distributionen Ubuntu 17.04, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS Backport-Sicherheitsupdates für 'augeas' zur Verfügung.

Debian stellt für die stabile Distribution Stretch sowie die vormals stabile Distribution Jessie ebenfalls Backport-Sicherheitsupdates bereit.
Ein entfernter, nicht authentifizierter Angreifer kann eine als kritisch eingestufte Schwachstelle in Adobe Digital Editions ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen. Mehrere weitere Schwachstellen erlauben dem Angreifer Informationen auszuspähen. Das Ausspähen von Informationen schließt auch das Ausspähen von Speicheradressen ein, wodurch ein Angreifer Informationen für weitere Angriffe sammeln kann.

Adobe stellt Sicherheitsupdates für Adobe Digital Editions auf Version 4.5.6 zur Verfügung. Für Windows- und Macintosh-Systeme können diese über die referenzierte Download-Seite heruntergeladen werden. Für Google Android wird die neue Version über Play Store zur Verfügung gestellt und für iOS steht die neue Version als Sicherheitsupdate in iTunes bereit.
Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle über eine präparierte 'ssh://'-URL ausnutzen und so einen Git-Benutzer über unterschiedliche Vektoren angreifen. Hierfür kann er beispielsweise einen bösartig präparierten Git-Server verwenden, der eine zur Ausnutzung der Schwachstelle präparierte URL generiert, zudem kann er über einen bösartigen Commit Benutzer eines Repositories angreifen und möglicherweise einen Proxy-Server für einen Angriff verwenden. Eine erfolgreiche Ausnutzung ermöglicht dem Angreifer beliebige Shell-Befehle auf dem System des betroffenen Benutzers zur Ausführung zu bringen, wenn er den Benutzer zusätzlich verleiten kann diese URL aufzurufen. Beispielsweise kann die URL in die Datei '.gitmodules' eines entfernten Repositories eingebracht und über den unverdächtigen Befehl 'git clone --recurse-submodules' aufgerufen werden.

Der Hersteller stellt die Versionen 2.7.6, 2.8.6, 2.9.5, 2.10.4, 2.11.3, 2.12.4, 2.13.5 und 2.14.1 als Sicherheitsupdates bereit.

Debian stellt für die Distributionen Jessie (oldstable) und Stretch (stable) Backport-Sicherheitsupdates bereit.

Canonical veröffentlicht für die Distributionen Ubuntu 17.04, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS Backport-Sicherheitsupdates.

Für Fedora 25 steht die Version 2.9.5 und für Fedora 26 die Version 2.13.5 als Sicherheitsupdates im Status 'pending' bereit.
Eine Schwachstelle in CVS ermöglicht einem entfernten, nicht authentisierten Angreifer mit Hilfe präparierter 'ssh://'-URLs beliebige Shell-Befehle auf dem System eines anderen CVS-Benutzers zur Ausführung zu bringen.

Debian stellt für die stabile Distribution Stretch sowie die vormals stabile Distribution Jessie Sicherheitsupdates für 'cvs' bereit.
Mehrere Schwachstellen in Graphite2 ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung von Denial-of-Service (DoS)-Angriffen.

Debian stellt für die Distribution Jessie (oldstable) ein Sicherheitsupdate für 'graphite2' bereit. Für die stabile Distribution Stretch wurden die Änderungen bereits vor der Veröffentlichung des initialen Release eingefügt.
Ein entfernter, nicht authentisierter Angreifer kann einen Fehler bei der Verifizierung von RSA-Signaturen in stronSwan ausnutzen, um die Dereferenzierung eines NULL-Zeigers zu provozieren, in deren Folge die Anwendung abstürzt (Denial-of-Service, DoS).

Für die SUSE Linux Enterprise Produktvarianten Server for Raspberry Pi 12 SP2, Server 12 SP2 und 12 SP3 sowie Desktop 12 SP2 und 12 SP3 stehen Sicherheitsupdates zur Verfügung.
Mehrere Schwachstellen im Linux-Kernel ermöglichen einem lokalen, nicht authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen, verschiedene Denial-of-Service (DoS)-Angriff und eine Privilegieneskalation.

Für Oracle Linux 6, Oracle Linux 7 und Oracle VM 3.3 (x86_64) stehen Sicherheitsupdates für die Kernel-Version 3.8.13 bereit und für Oracle Linux 6 (i386, x86_64) ebenfalls für die Kernel-Version 2.6.39. Die Sicherheitsupdates adressieren alle hier aufgeführten Schwachstellen.
Mehrere Schwachstellen im Linux-Kernel ermöglichen einem lokalen, einfach authentisierten Angreifer über die Ausführung beliebigen Programmcodes sowie das Eskalieren von Privilegien die Kontrolle über ein betroffenes System vollständig zu übernehmen. Eine weitere Schwachstelle ermöglicht einem einfach authentisierten Angreifer im benachbarten Netzwerk zudem das Ausspähen von Informationen, die Durchführung eines Denial-of-Service (DoS)-Angriffs oder das Eskalieren von Privilegien.

Für Fedora 25 und 26 stehen die Pakete 'kernel-4.12.8-200.fc25' und 'kernel-4.12.8-300.fc26' als Sicherheitsupdates bereit. Das Sicherheitsupdate für Fedora 25 befindet sich im Status 'testing', während das Update für Fedora 26 noch den Status 'pending' besitzt. Das Sicherheitsupdate für Fedora 25 adressiert zusätzlich die Schwachstelle CVE-2017-7533, wodurch das zuvor für diese Schwachstelle dediziert zur Verfügung gestellte Sicherheitsupdate ersetzt wird. Das analog für Fedora 26 dediziert zur Behebung der Schwachstelle CVE-2017-7533 veröffentlichte Sicherheitsupdate besitzt den Status 'stable' und wurde in dieses Advisory zusätzlich aufgenommen.
Mehrere Schwachstellen in Mozilla Thunderbird ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes, das Umgehen von Sicherheitsvorkehrungen, die Darstellung falscher Informationen und verschiedener Denial-of-Service (DoS)-Angriffe.

Generell können diese Schwachstellen nicht über E-Mails in Thunderbird ausgenutzt werden, da 'Scripting' beim Lesen von E-Mails deaktiviert ist. Es handelt sich aber um potentielle Risiken in Browsern oder Browser-ähnlichen Kontexten.

Mozilla stellt die Thunderbird Version 52.3 als Sicherheitsupdate zur Behebung der Schwachstellen bereit, hat aber bislang noch kein entsprechendes Advisory veröffentlicht.

openSUSE stellt für die Distributionen openSUSE Leap 42.2 und openSUSE Leap 42.2 Sicherheitsupdates für Mozilla Thunderbird auf Version 52.3 zur Behebung der Schwachstellen bereit.
Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in GNU Lib C ausnutzen und lesend bereits freigegebenen Speicher zugreifen, wodurch Informationen ausgespäht werden können.

Für Fedora 25 steht das Paket 'glibc-2.24-10.fc25' als Sicherheitsupdate im Status 'testing' bereit.
Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle mit Hilfe eines präparierten RSS-Feeds ausnutzen und beliebigen Programmcode zur Ausführung bringen, wenn es ihm gelingt, einen Anwender dazu zu verleiten, den RSS-Feed als Lesezeichen anzulegen.

Debian stellt für die stabile Distribution Stretch sowie die vormals stabile Distribution Jessie Sicherheitsupdates für 'newsbeuter' zur Verfügung.
Ein nicht authentisierter Angreifer mit physischem Zugriff auf ein betroffenes System kann eine Schwachstelle in GNOME Shell abhängig von den vom Benutzer verwendeten Erweiterungen ausnutzen, um beispielsweise Informationen auszuspähen, die von den Erweiterungen ausgegeben werden, auf dem System vorhandene Anwendungen zu starten oder beliebigen Programmcode auszuführen.

Der Hersteller hat die Schwachstelle für die Versionen 3.22 bis 3.24.1 bestätigt und in GNOME Shell 3.25.4 behoben.

Für die SUSE Linux Enterprise Produkte Desktop, Server, Software Development Kit und Workstation Extension in den Versionen 12 SP2 und 12 SP3 sowie für SUSE Linux Enterprise Server for Raspberry Pi 12 SP2 stehen Backport-Sicherheitsupdates zur Verfügung.
In Exim existiert eine Schwachstelle, weil durch die Mehrfachverwendung von '-p' als Befehlszeilenargument Speicher reserviert werden kann, der nicht wieder freigegeben wird. Ein lokaler, nicht authentisierter Angreifer kann dies nur in Verbindung mit einer anderen Schwachstelle ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen und möglicherweise auch eine Rechteerweiterung auf Root-Privilegien durchzuführen.

Debian stellt für die stabile Distribution Stretch und die alte stabile Distribution Jessie jeweils Backport-Sicherheitsupdates bereit.

Canonical veröffentlicht für Ubuntu 17.04, Ubuntu 16.10, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS verschiedene Backport-Sicherheitsupdates.
Zwei Schwachstellen in libmspack ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung von Denial-of-Service-Angriffen. Zudem kann eine der Schwachstellen auch dazu ausgenutzt werden, um weiteren nicht näher genannten Einfluss auf ein System auszuüben.

Canonical stellt für Ubuntu 17.04 und Ubuntu 16.04 LTS Backport-Sicherheitsupdates für 'libmspack' bereit.

Zusatzinformationen / Extras

Direktzugang

Schnellnavigation zur Seite über Nummerneingabe