security newsletter
Transcription
security newsletter
17.03.14, 45990/Best.-Nr. 410417 SECURITY NEWSLETTER 06 14 Analysen und Lösungen zu aktuellen Gefahren für die Daten- und Netzwerksicherheit Editorial Inhalt Microsoft besser als sein Ruf Alle Betriebssysteme Die dänischen IT-Sicherheitsexperten von Secunia haben in ihrem Report „Vulnerability Review 2014“ die im letzten Jahr entdeckten Sicherheitslücken in IT-Programmen unter die Lupe genommen. Die Studie* analysiert die Verbreitung von Software-Schwachstellen im Jahr 2013. Apache Struts mit Sicherheitslücken ................................. 1 IBM Content Navigator mit diversen Schwachstellen ..... 2 Nachbesserungen für Citrix NetScaler ............................. 2 Sicherheitslücke in D-Link-DSL-Modem wird aktiv ausgenutzt ....................................................... 2 Demnach wurden im Jahr 2013 insgesamt 2.289 verwundbare Programme von 539 Herstellern gezählt, die zusammen 13.073 Schwachstellen aufwiesen. Knapp drei Viertel davon sind über das Netzwerk ausnutzbar. Im Vergleich zum Jahr 2012 bedeutet dies eine Zunahme der Schwachstellenzahl um 32 Prozent. Windows Allein 27 Software-Produkte von sieben Herstellern aus der Liste der 50 populärsten Programme vereinen dabei 1.208 Sicherheitslücken auf sich. Spitzenreiter sind die Browser Mozilla Firefox und Google Chrome mit 270 bzw. 245 Sicherheitslücken. Auf den weiteren Plätzen folgen Oracle Java, der MS Internet Explorer, Adobe Reader, Apple iTunes und Adobe Flash Player. 727 Sicherheitslücken wurden 2013 in den fünf beliebtesten Browsern entdeckt: Google Chrome, Mozilla Firefox, Internet Explorer, Opera und Safari. 70 Schwachstellen lagen in den fünf beliebtesten PDF-Programmen vor: Adobe Reader, Foxit Reader, PDFXChange Viewer, Sumatra PDF und Nitro PDF Reader. Solaris: Neues aus dem Third Party Vulnerability Resolution Blog ......................................... 3 GnuTLS überprüft Zertifikate nicht ordnungsgemäß ....... 3 Deutlich besser als sein Ruf schlägt sich Microsoft. Obwohl der Software-Riese aus Redmond zwei Drittel der Produkte der Top 50 stellt, sind diese nur für 24 Prozent der Schwachstellen verantwortlich. Und obwohl Drittanbieter-Produkte also nur ein Drittel der beliebtesten Programme auf privaten PCs ausmachen, wiesen sie in der Summe mehr als 76 Prozent der Sicherheitslücken auf. Am Tag des Bekanntwerdens der jeweiligen Schwachstelle waren übrigens in 79 Prozent aller Fälle korrigierende Patches verfügbar. Das bedeutet im Umkehrschluss, dass bei jeder fünften Sicherheitslücke die Gefahr bestand, dass sie aktiv ausgenutzt wurde. Frank Gotta Chefredakteur * http://secunia.com/ resources/reports/vr2014/ Security Newsletter 06/14 Schwachstellen in Apple QuickTime erlauben unbefugte Codeausführung .............................................. 2 Zahlreiche Bugs im Avant Browser 2014 ........................ 3 Unix/Linux Cisco Aktuelle Security-Notizen von Cisco ............................... 4 Apple Apple veröffentlicht OS X 10.9.2 sowie Updates für Lion und Mountain Lion .............................. 4 Kurzmeldungen ................................................................ 5 Impressum ........................................................................ 6 Alle Betriebssysteme ■ Apache Struts mit Sicherheitslücken Betriebssystem alle Systeme Software Apache Struts vor 2.3.16.1 und früher Angriffe Denial of Service, Umgehen von Sicherheitsfunktionen Schutz Software-Update Im Open-Source-Framework Apache Struts wurden Schwachstellen festgestellt, die das Umgehen von Sicherheitsfunktionen sowie DoS-Attacken erlauben [1]. (fgo) Seite 1 Problem Die Applikation ermöglicht den Zugriff auf den Parameter „class“, der direkt von der Methode „getClass()“ verwendet wird. Das lässt sich zur Manipulation des ClassLoader missbrauchen, der vom Applikationsserver verwendet wird. Empfehlung Entwickler sollten auf die Version Struts 2.3.16.1 [2] wechseln. Information [1] http://struts.apache.org/release/2.3.x/docs/s2-020.html [2] http://struts.apache.org/download.cgi#struts23161 ■ IBM Content Navigator mit diversen Schwachstellen Betriebssystem AIX, Linux, Windows Software IBM Content Navigator 2.0.x Angriffe Cross-Site Scripting, Erhöhen von Rechten, Denial of Service Schutz Software-Update Der IBM Content Navigator, eine Komponente, die für mehrere Produkte des Herstellers zum Einsatz kommen kann (IBM Content Manager, IBM FileNet Content Manager, IBM Content Foundation, IBM Content Manager OnDemand) weist diverse Schwachstellen auf. (fgo) Problem 1. Ein nicht autorisierter Nutzer kann die Konfigurationsdatenbank manipulieren, was sonst Admins vorbehalten ist [1]. 2. Die zum Lieferumfang zählende Knowledge Center Local Edition weist eine XSS-Schwachstelle auf [2]. 3. Das eingebundene Oracle Outside In erlaubt aufgrund eines Fehlers lokale Denial-of-Service-Attacken [3]. 4. Parameterinhalte werden nur unzureichend kontrolliert, was XSS-Angriffe erlaubt [4]. Empfehlung Es stehen jeweils korrigierende Upgrades bzw. Fixes zur Verfügung. Information [1] http://www-01.ibm.com/support/docview.wss?uid=swg21665358 [2] http://www-01.ibm.com/support/docview.wss?uid=swg21665360 [3] http://www-01.ibm.com/support/docview.wss?uid=swg21665361 [4] http://www-01.ibm.com/support/docview.wss?uid=swg21665362 ■ Nachbesserungen für Citrix NetScaler Betriebssystem alle Systeme Software Citrix NetScaler ADC; Citrix NetScaler SDX Service VM Angriffe Denial of Service, Umgehen von Sicherheitsfunktionen, Cross-Site Request Forgery, Cross-Site Scripting Schutz Software-Update Citrix hat NetScaler ADC und NetScaler SDX Service VM nachgebessert, um Schwachstellen zu schließen. (fgo) Problem 1. Die Firmware der Citrix NetScaler ADC Appliance in den Versionen vor 10.1-118.7, 10.0-77.5 und 9.3-64.4 weist insgesamt vier Sicherheitslücken auf, die unter anderem das Umgehen von Sicherheitsfunktionen erlauben [1]. Seite 2 2. Die Versionen 10.0 und 9.3 des Citrix NetScaler SDX Service VM Virtual Machine Daemon weisen eine Schwachstelle auf, die Denial-of-Service-Attacken erlaubt [2]. Empfehlung Es stehen Updates für die NetScaler ADC Firmware [3] sowie die NetScaler ADC Virtual Appliance [4] zur Verfügung. Die DoS-Schwachstelle wird durch ein Update der NetScaler ADC Service Delivery Appliances [5] behoben. Information [1] http://support.citrix.com/article/CTX139049 [2] http://support.citrix.com/article/CTX140113 [3] https://www.citrix.com/downloads/netscaler-adc/firmware.html [4] https://www.citrix.com/downloads/netscaler-adc/virtualappliances.html [5] http://www.citrix.com/downloads/netscaleradc/service-delivery-appliances.html ■ Sicherheitslücke in D-Link-DSL-Modem wird aktiv ausgenutzt Betriebssystem Software Angriffe Schutz D-Link Modem DSL-321B Firmware Kompromittierung des Systems Software-Update Das D-Link-Modem DSL-321B weist eine aktiv ausgenutzte Schwachstelle auf. (fgo) Problem Die Sicherheitslücke erlaubt es Angreifern, die Authentifizierung zu umgehen und sich trotz abgeschalteter Fernwartung über das Netzwerk Zugriff auf das Modem mit administrativen Rechten zu verschaffen [1], [2]. Empfehlung Ein korrigierender Patch ist erschienen und steht zum Download [3] bereit. Information [1] http://more.dlink.de/sicherheit/news.html [2] https://portal.cert.dfn.de/adv/DFN-CERT-2014-0283/ [3] http://more.dlink.de/sicherheit/router.php Windows ■ Schwachstellen in Apple QuickTime erlauben unbefugte Codeausführung Betriebssystem Windows Software Apple QuickTime 7.7.4 und früher Angriffe remotes Ausführen von Code, Denial of Service Schutz Software-Update Mehrere Schwachstellen in Apple QuickTime für Windows machen das Einspielen eines kumulativen Updates empfehlenswert. (fgo) Problem Insgesamt führt die Meldung von Apple [1] zehn unterschiedliche Sicherheitslücken auf. Ihnen ist gemeinsam, dass sie von dritter Stelle gemeldet wurden und Angreifern durchgängig Denial-of-Service-Attacken oder im ungünstigsten Fall die unbefugte Codeausführung über das Netzwerk erlauben. Security Newsletter 06/14 Empfehlung Zur Fehlerkorrektur stellt Apple QuickTime für Windows in der Version 7.7.5 zum Download [2] zur Verfügung. Information [1] http://support.apple.com/kb/HT6151 [2] http://support.apple.com/kb/DL837 ■ Zahlreiche Bugs im Avant Browser 2014 Betriebssystem Windows Software Avant Browser 2014 Angriffe Umgehen von Sicherheitsfunktionen, Systemzugriff, Denial of Service Schutz Software-Update 8. Bind: Denial of Service(Solaris 9 und 10 (Patches noch nicht verfügbar), 11.1) [8] 9. Xdg-utils: remotes Ausführen von Befehlen (Solaris 11.1) [9] 10. Vino: Denial of Service (Solaris 11.1) [10] 11. ICU: Denial of Service (Solaris 10 (Patch noch nicht verfügbar) und 11.1) [11] Empfehlung Über die jeweiligen Einträge im Third Party Vulnerability Resolution Blog sind die Links zu den bereitgestellten Updates verfügbar. Unix Information [1] https://blogs.oracle.com/sunsecurity/entry/cve_2006_4 810_buffer_overflow [2] https://blogs.oracle.com/sunsecurity/entry/cve_2012_6 150_input_validation [3] https://blogs.oracle.com/sunsecurity/entry/cve_2013_4 408_buffer_errors [4] https://blogs.oracle.com/sunsecurity/entry/cve_2014_0 397_buffer_errors [5] https://blogs.oracle.com/sunsecurity/entry/multiple_vul nerabilities_in_wireshark9 [6] https://blogs.oracle.com/sunsecurity/entry/cve_2013_2 561_link_following [7] https://blogs.oracle.com/sunsecurity/entry/cve_2013_6 462_buffer_errors [8] https://blogs.oracle.com/sunsecurity/entry/cve_2014_0 591_buffer_errors [9] https://blogs.oracle.com/sunsecurity/entry/cve_2008_0 386_improper_input [10] https://blogs.oracle.com/sunsecurity/entry/cve_2013_ 5745_input_validation [11] https://blogs.oracle.com/sunsecurity/entry/cve_2013_ 0900_race_conditions ■ Solaris: Neues aus dem Third Party Vulnerability Resolution Blog ■ GnuTLS überprüft Zertifikate nicht ordnungsgemäß Im Avant Browser 2014, einem Browser mit den drei Rendering-Engines Trident, Gecko und Webkit, wurden zahlreiche Sicherheitslücken festgestellt. (fgo) Problem Die Schwachstellen resultieren vorrangig aus den eingesetzten Engines von Chrome [2] und Firefox [3] und werden durch ein Update der Browser-Engines Chrome 33.0.1750.146 und Firefox 27.0.1.5163 angegangen. Empfehlung Avant Browser 2014 Build 2 steht zum Download [4] bereit. Information [1] http://www.avantbrowser.com/new.aspx [2] http://secunia.com/advisories/57194/ [3] http://secunia.com/advisories/56787/ [4] http://www.avantbrowser.com/download.aspx?uil=de-de Betriebssystem Solaris Software Texinfo, Samba, libXtsol, Wireshark, OpenFabrics ibutils, X.Org, Bind, Xdg-utils, Vino, ICU Angriffe Ausführen von Code, Zugriff auf sensible Informationen, Denial of Service, Symlink Schutz Software-Update Der Third Party Vulnerability Resolution Blog von Oracle führt neue Schwachstellen in Software und Komponenten auf, die auf Solaris-Systemen genutzt werden. (fgo) Problem 1. Texinfo: lokales Ausführen von Code (Solaris 10 und 11.1) [1] 2. Samba: Zugriff auf sensible Informationen (Solaris 10 und 11.1) [2] 3. Samba: remotes Ausführen von Code (Solaris 10 und 11.1) [3] 4. libXtsol: Pufferüberlauf (Solaris 10 (Patch noch nicht verfügbar) und 11.1) [4] 5. Wireshark: Denial of Service (Solaris 11.1) [5] 6. OpenFabrics ibutils: Symlink-Attacke (Solaris 11.1) [6] Betriebssystem Unix/Linux Software GnuTLS vor 3.2.12 bzw. 3.1.22, 2.12.x Angriffe Umgehen von Sicherheitsfunktionen Schutz Software-Update In allen Version der Open-Source-Bibliothek GnuTLS liegt eine Schwachstelle vor, die die Funktionalität der Überprüfung von Zertifikaten auf ihre Gültigkeit aushebelt [1]. (fgo) Problem Speziell aufgebaute Zertifikate werden bei der Überprüfung fälschlich als gültig erkannt. Empfehlung Die neuen Version 3.2.12 bzw. 3.1.22 [2] von GnuTLS sind von diesem Fehler befreit, für ältere Version steht ein Patch für GnuTLS 2.12.x [3] zur Verfügung. Information [1] http://gnutls.org/security.html#GNUTLS-SA-2014-2 [2] http://article.gmane.org/gmane.comp.encryption.gpg.gnutls.devel/7341 [3] https://www.gitorious.org/gnutls/gnutls/commit/6aa26f 78150ccbdf0aec1878a41c17c41d358a3b 7. X.Org: remotes Ausführen von Code (Solaris 10 (Patch noch nicht verfügbar) und 11.1) [7] Security Newsletter 06/14 Seite 3 Cisco ■ Aktuelle Security-Notizen von Cisco Betriebssystem Cisco Software Cisco Unified Communications Manager, Cisco Unified Contact Center Express, Cisco Unified Communications Domain Manager, Cisco Intrusion Prevention System (IPS) Angriffe Ausführen von Befehlen, Denial of Service, Zugriff auf sensible Informationen, Manipulation von Gerätedaten, Cross-Site Request Forgery, Cross-Site Scripting Schutz Software-Update Cisco hat eine Reihe von Meldungen zu Sicherheitslücken veröffentlicht, die laut Hersteller nur eine niedrige bis mittlere Gefährdung darstellen. (fgo) Problem 1. Cisco Unified Communications Manager: In der Certificate Authority Proxy Function (CAPF) für das Management von Certificate Signing Requests (CSR) liegt eine Sicherheitslücke vor, die es lokalen Angreifern erlaubt, beliebige Dateien zu lesen oder zu schreiben [1]. Zudem weist die CAPF Fehler bei der Authentifizierung auf, wodurch nicht authentifizierte remote Angreifer Geräteinformationen manipulieren können [2]. Anfällig ist auch die Kommandozeilenschnittstelle des CAPF, die Benutzereingaben ungenügend überprüft, was sich lokal zur unbefugten Befehlsausführung missbrauchen lässt [3] oder Zugriffe auf Dateien im darunterliegenden Betriebssystem erlaubt [4]. Ferner weist die Managementseite für das Betriebssystem eine remote und anonym ausnutzbare Cross-Site-Request-Forgery-Schwachstelle auf [5]. 2. Cisco Unified Contact Center Express: Eine Schwachstelle in der Seite CCMConfig erlaubt es authentifizierten remoten Angreifern, unbefugt auf sensible Informationen zuzugreifen [6]. Weiterhin besteht eine Sicherheitslücke im Disaster Recovery System (DRS), die den Zugang zu sensiblen Daten der Geräte, die DRS nutzen, ermöglicht [7]. Und die Cisco Unified Serviceability Component erlaubt nicht authentifizierten remoten Angreifern eine Cross-Site-Request-Forgery-Attacke [8]. 3. Cisco Unified Communications Domain Manager: Im Web-Framework werden auf der BVSM-Seite mehrere Eingabeparameter nicht fehlerfrei bereinigt. Ein entfernter Angreifer kann das für Cross-Site-Scripting-Angriffe ausnutzen. Zur Behebung dieser Schwachstelle steht noch kein Patch zur Verfügung [9]. 4. Intrusion Prevention System (IPS): Manipulierte SNMP-Pakete können beim MainApp-Prozess einen Denial of Service auslösen, was zum Aussetzen des gesamten IPS führt. Angriffe sind remote und ohne Authentifizierung möglich [10]. Empfehlung Cisco stellt korrigierende Updates bzw. Upgrades über seinen Support-Channel zur Verfügung. Seite 4 Information [1] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0742 [2] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0743 [3] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0747 [4] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0741 [5] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0740 [6] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-2102 [7] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0746 [8] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-0745 [9] http://tools.cisco.com/security/center/content/CiscoSec urityNotice/CVE-2014-2104 [10] http://tools.cisco.com/security/center/content/CiscoSe curityNotice/CVE-2014-2103 Apple ■ Apple veröffentlicht OS X 10.9.2 sowie Updates für Lion und Mountain Lion Betriebssystem Max OS X vor 10.9.2, OS X 10.8.5, OS X 10.7.5 Software Betriebssystem Angriffe remotes Ausführen von Code, Cross-Site Scripting, Umgehen von Sicherheitsfunktionen, Denial of Service Schutz Software-Update Mit OS X Mavericks in der Version 10.9.2 beseitigt Apple zahlreiche Sicherheitslücken [1], darunter auch die SSL/ TLS-Schwachstelle. Ebenfalls erschienen sind entsprechende Sicherheitsaktualisierungen für Mac OS X 10.8.5 Mountain Lion und 10.7.5 Lion [2]. (fgo) Problem Insgesamt führt die Herstellermeldung zu sicherheitsrelevanten Veränderungen 34 Schwachstellen auf, die diverse Komponenten betreffen: Apache, App Sandbox, ATS, Certificate Trust Policy, CFNetwork Cookies, CoreAnimation, CoreText, SSL/TLS, curl, Date and Time, File Bookmark, Finder, ImageIO, IOSerialFamily, LaunchServices, NVIDIA-Treiber, PHP, QuickLook, QuickTime und Secure Transport. Empfehlung Das Update auf OS X Mavericks 10.9.2 steht zum Download [3] bereit, ebenso das Security Update 2014-001 für Mountain Lion [4] und Lion [5]. Information [1] http://support.apple.com/kb/HT6150 [2] http://support.apple.com/kb/HT1222 [3] http://support.apple.com/kb/DL1725 [4] http://support.apple.com/kb/DL1729 [5] http://support.apple.com/kb/DL1727 Security Newsletter 06/14 Kurzmeldungen Windows Alle Betriebssysteme Hotfix für McAfee ePolicy Orchestrator schließt Schwachstelle XSS-Schwachstelle im Open Ticket Request System In der Webschnittstelle des Open Ticket Request System (OTRS), einer Open-Source-Lösung für den Helpdesk, liegt eine Cross-Site-Scripting-Schwachstelle vor, die nicht authentifizierte Angreifer über das Netzwerk ausnutzen können. Ursache ist eine ungenügende Kontrolle von E-Mails mit HTML-Code [1]. Geschlossen wurde diese Sicherheitslücke in den Versionen OTRS 3.1.20, 3.2.15 und 3.3.5, die gefixten Releases lassen sich unter [2] abrufen. (fgo) [1] https://www.otrs.com/security-advisory-2014-03-xss-issue/ [2] https://www.otrs.com/category/uncategorized/ Im McAfee ePolicy Orchestrator in den Versionen 4.6.7 und früher liegt eine Sicherheitslücke vor. Sie erlaubt es einem authentifizierten Angreifer, der über die Berechtigung zum Hinzufügen von Dashboards verfügt, über das Netzwerk mittels des Imports einer manipulierten XMLDatei beliebige Dateien auf einem Zielsystem zu lesen [1]. Für registrierte Anwender steht unter [2] der Hotfix EPO467HF940148.zip für den ePO 4.6.7 zum Download zur Verfügung. (fgo) [1] https://kc.mcafee.com/corporate/index?page=content&id=SB10065 [2] http://www.mcafee.com/us/downloads/downloads.aspx Unix Schwachstelle im Plex Media Server behoben HP aktualisiert Java 6 und 7 für HP-UX Im Plex Media Server vor der Version 0.9.9.3 liegt eine über ein Proof of Concept belegte Sicherheitslücke vor, die es Angreifern erlaubt, auf beliebige Dateien auf dem Server zuzugreifen [1]. Die Schwachstelle wurde laut Hersteller in der aktuellen Version der Software [2] behoben. (fgo) [1] https://www.seccosult.com/fxdata/seccons/prod/temedia/advisories_txt/201402281_Plex_Media_Server_Authentication_bypass_local_file_disclosure_v10.txt [2] https://plex.tv/downloads Hewlett Packard hat Java-Updates veröffentlicht, die die meisten (aber nicht alle) der von Oracle im Januar gemeldeten Schwachstellen [1] schließen. Verfügbar ist das Update auf Java Version 6.0.22 für HP-UX b.11.11, b.11.23 und b.11.31 [2] sowie das Update auf Java Version 7.0.09 für HP-UX b.11.23 und b.11.31 [3]. (fgo) [1] http://www.oracle.com/technetwork/topics/security/cpu jan2014-1972949.html#AppendixJAVA [2] https://h20564.www2.hp.com/portal/site/hpsc/public/k b/docDisplay?docId=emr_na-c04166778 [3] https://h20564.www2.hp.com/portal/site/hpsc/public/k b/docDisplay?docId=emr_na-c04166777 Google Chrome, die 33. Google hat mit seinen stabilen Updates für Google Chrome mittlerweile Version 33.0.1750.146 für Windows, Mac OS und Linux erreicht. Durch das Einspielen dieses Updates werden insgesamt 19 zum größten Teil remote ausnutzbare Sicherheitslücken geschlossen [1]. Die aktuelle Chrome-Version steht unter [2] zum Download bereit. (fzi) [1] http://googlechromereleases.blogspot.de/2014/03/stabl e-channel-update.html [2] https://www.google.com/intl/de/chrome/browser/ Java-Update für IBM Rational Functional Tester IBM Rational Functional Tester in den Versionen 8.5.1.1 und früher wird mit einem remote angreifbaren IBM SDK, Java Technology Edition, ausgeliefert [1]. IBM stellt Rational Functional Tester 8.5.1.2 mit dem fehlerbereinigten IBM SDK, Java Technology Edition Version 7 Service Refresh 6 Fix Pack 1 zum Download [2] bereit. (fgo) [1] http://www-01.ibm.com/support/docview.wss?uid=swg21664796 [2] http://www933.ibm.com/support/fixcentral/swg/selectFixes?parent=ib m~Rational&product=ibm/Rational/Rational+Functional +Tester&release=8.5.1.2&platform=All&function=all Blue Coat SGOS mit Sicherheitslücke Blue Coat Appliances unter SGOS vor Version 6.5.4 weisen eine Schwachstelle auf, da administrative Änderungen bei lokal definierten Benutzer wie etwa das Löschen oder auch Passwort-Änderungen nicht sofort aktiv sind. Ein Angreifer mit entsprechendem Wissen kann dieses kurze Zeitfenster ausnutzen, um administrativen Zugang zur Maschine zu erhalten [1]. Patches stehen für Version 6.5.4 herstellerseitig zur Verfügung, ältere Versionen sind noch nicht gefixt. (fgo) [1] https://kb.bluecoat.com/index?page=content&id=SA77 Security Newsletter 06/14 NetBSD: Schwachstelle erlaubt DoS-Attacken Lokale Angreifer können eine Schwachstelle in NetBSD 6.1* und früher ausnutzen, um durch überlange FileHandling-Listen einen Denial of Service zu provozieren [1]. Abhilfe schafft eine Aktualisierung von libc und Kernel. (fgo) [1] http://ftp.netbsd.org/pub/NetBSD/security/advisories/N etBSD-SA2014-003.txt.asc HP-UX m4(1) erlaubt unbefugte Zugriffe In den HP-UX-Versionen B.11.31 und B.11.23 liegt eine Schwachstelle im Kommando m4(1) vor, die es einem lokalen Angreifer erlaubt, sich unbefugt Zugriff auf Daten zu verschaffen [1]. Der Hersteller hat Patches veröffentlicht, um das Problem zu beheben. (fgo) [1] https://h20564.www2.hp.com/portal/site/hpsc/public/k b/docDisplay?docId=emr_na-c04103553 Druckerbefehle in IBM AIX mit Sicherheitslücken Die Druck-Kommandos mkque und mkquedev von IBM AIX 5.3, 6.1 und 7.1 zeigen eine Schwachstelle, die zur Gruppe „printq“ gehörenden Benutzern die Möglichkeit bietet, einen Pufferüberlauf auszulösen. Diese Kommandos gehören zu „root“ und haben das SUID-Bit gesetzt. Das Ausnutzen der Lücke durch lokale Benutzer kann zu einem Denial of Service oder auch zur Ausführung beliebiger Kommandos als „root“ führen [1]. Ein Fix steht zur Verfügung. (ml) [1] http://aix.software.ibm.com/aix/efixes/security/cmdque_advisory.asc Seite 5 Cisco Impressum Cisco Prime Infrastructure erlaubt unbefugte Befehlsausführung Verlag: WEKA MEDIA GmbH & Co. KG Römerstraße 4, 86438 Kissing Tel.: 0 82 33.23-40 02 Fax: 0 82 33.23-74 00 http://www.weka.de Eine Schwachstelle in der Cisco Prime Infrastructure mit den Software-Versionen 1.2, 1.3, 1.4 oder 2.0 ermöglicht es einem authentifizierten Angreifer, über das Netzwerk beliebige Befehle mit Root-Privilegien auszuführen [1]. Ursache ist eine unkorrekte Validierung von URL-Anfragen. Cisco hat korrigierte Software-Upgrades bereitgestellt. Für Nutzer der Cisco Prime Infrastructure Software in Version 1.2 steht ein Patch zur Verfügung. (fgo) [1] http://tools.cisco.com/security/center/content/CiscoSec urityAdvisory/cisco-sa-20140226-pi Cisco Small Business Router erlauben das Umgehen das Passwortschutzes Die Cisco-Geräte CVR100W Wireless-N VPN Router mit Firmware 1.0.1.19 und früher, RV110W Wireless-N VPN Firewall mit Firmware 1.2.0.9 und früher sowie RV215W Wireless-N VPN-Router mit Firmware 1.1.0.5 und früher weisen eine Sicherheitslücke bei der Behandlung von Authentifizierungsanfragen auf, die es nicht authentifizierten remoten Angreifern erlaubt, mit Admin-Rechten auf das Web-Management-Interface zuzugreifen [1]. Cisco hat korrigierende Firmware-Updates für RV110W, RV215W und CVR100W veröffentlicht, die entsprechenden Links finden sich im Advisory. (fgo) [1] http://tools.cisco.com/security/center/content/CiscoSec urityAdvisory/cisco-sa-20140305-rpd Cisco Wireless LAN Controller mit mehreren Schwachstellen Zahlreiche Geräte der Produktgattung Wireless LAN Controller (WLC) von Cisco – darunter sowohl Stand-Aloneals auch modulare Modelle – sind von den insgesamt sechs Sicherheitslücken betroffen, die der Hersteller in einem aktuellen Advisory [1] aufführt. In fünf der Fälle lassen die Schwachstellen Denial-of-Service-Attacken zu, einmal können sich Angreifer allerdings auch unbefugt Zugriff auf das betroffene Gerät verschaffen. Cisco hat SoftwareUpdates veröffentlicht, deren Einspielen die Fehler beheben soll. (fgo) [1] http://tools.cisco.com/security/center/content/CiscoSec urityAdvisory/cisco-sa-20140305-wlc Herausgeber: WEKA MEDIA GmbH & Co. KG Gesellschafter der WEKA MEDIA GmbH & Co. KG sind als Kommanditistin: WEKA Business Information GmbH & Co. KG und als Komplementär: WEKA MEDIA Beteiligungs-GmbH Geschäftsführer: Stephan Behrens, Michael Bruns, Werner Pehland Redaktion: Chefredakteur: Frank Gotta (fgo) Redakteure: Dr. Matthias Leu (ml), Frank Zinkand (fzi) redaktion@security-news.de Erscheinungsweise: Der Security Newsletter erscheint 14-tägig. Abonnentenhotline: info@security-news.de Tel.: 0 82 33.23-73 23 Fax: 0 82 33.23-72 36 Abonnentenverwaltung: Kundenservice Römerstr. 4, 86438 Kissing Tel.: 0 82 33.23-40 02 Fax: 0 82 33.23-74 00 ISBN: 3-8245-0410-3 Preis und Laufzeit des Abonnements: Der Abonnementpreis für ein halbes Jahr (mind. 12 Ausgaben) beträgt 148,00 € (inkl. Versand, zzgl. MWST). Das Abonnement gilt für ein halbes Jahr (mind. 12 Ausgaben) und verlängert sich automatisch um ein weiteres halbes Jahr, wenn nicht 4 Wochen vor Ablauf der Bezugszeit schriftlich gekündigt wird. Haftung: Die WEKA MEDIA GmbH & Co. KG ist bemüht, ihre Produkte jeweils nach neuesten Erkenntnissen zu erstellen. Die inhaltliche Richtigkeit und Fehlerfreiheit wird ausdrücklich nicht zugesichert. Bei Nichtlieferung durch höhere Gewalt, Streik oder Aussperrung besteht kein Anspruch auf Ersatz. Erfüllungsort und Gerichtsstand ist Kissing. Zum Abdruck angenommene Beiträge und Abbildungen gehen im Rahmen der gesetzlichen Bestimmungen in das Veröffentlichungs- und Verbreitungsrecht des Verlags über. Für unaufgefordert eingesandte Beiträge übernehmen Verlag und Redaktion keine Gewähr. Namentlich ausgewiesene Beiträge liegen in der Verantwortlichkeit des Autors. Titel und alle in ihm enthaltenen Beiträge und Abbildungen sind urheberrechtlich geschützt. Jeglicher Nachdruck, auch auszugsweise, ist nur mit ausdrücklicher Genehmigung des Verlags und mit Quellenangabe gestattet. Mit Ausnahme der gesetzlich zugelassenen Fälle ist eine Verwertung ohne Einwilligung des Verlags strafbar. Unter http://www.weka.de/it-security/10317556-%7Eitsecuritynewsletter%7Efsc_formular.html haben Sie mit dem aktuellen Freischaltcode ethmuges Zugriff aufs Archiv. Seite 6 Security Newsletter 06/14