SECURITY NEWSLETTER

Transcription

SECURITY NEWSLETTER

05.11.12, 45990/Best.-Nr. 410383
SECURITY
NEWSLETTER
22
12
Analysen und Lösungen zu aktuellen Gefahren für die Daten- und Netzwerksicherheit
Editorial
Inhalt
Doch keine Hintertür
in Routern und Smartphones?
Alle Betriebssysteme
Regelmäßig sehen sich chinesische Hardwarehersteller wie
ZTE und Huawei nicht nur den Dumping-Vorwürfen der
EU-Kommissare ausgesetzt, sondern auch Verdächtigungen, in ihrer Hardware Backdoors – also heimlich über das
Netz nutzbare Gerätezugänge – zu Spionagezwecken implementiert zu haben.
Mit diesen Vorwürfen – angesiedelt zwischen abenteuerlicher Verschwörungstheorie und real nachvollziehbarer
Angst vor Wirtschaftsspionage – trifft es keinen Kleinen.
Huawei Technologies Co. Ltd. beschäftigt mehr als
140.000 Mitarbeiter und stellt nicht nur Endverbraucherprodukte wie Smartphones und WLAN-Router her, die
sich unter anderem im Angebot von T-Mobile, Vodafone
und O2 finden, sondern auch Netzwerkkomponenten für
den Einsatz in Unternehmen. Die ZTE Corporation wiederum hat weltweit etwa 70.000 Mitarbeiter, davon rund
10.000 in den über 100 Auslandsniederlassungen. Zu den
Kunden von ZTE zählen mehr als 500 Netzbetreiber.
Ein Bericht der Nachrichtenagentur Reuters* gibt in letztgenanntem Punkt jetzt zumindest teilweise Entwarnung.
Demnach habe eine 18-monatige aufwendige Untersuchung durch US-amerikanische Behörden unter Beteiligung der Geheimdienste, bei der unter anderem rund 1.000
Anwender befragt wurden, keinerlei Beweise für auffällige
Vorfälle beim Einsatz von Huawei-Hardware ergeben.
Kritisch wird allerdings der allgemeine Sicherheitsstatus
der Produkte von Huawei beurteilt. So beruft sich Reuters
auf die anonymen Aussagen zweier an der Untersuchung
beteiligter Personen, nachdem der Bericht auf zahlreiche
Sicherheitslücken in den Produkten des Herstellers hinweise. Diese könnten eventuell von Hackern mit staatlichem
Geheimdienstauftrag ausgenutzt werden.
* http://www.reuters.com/article/2012/10/17/us-huaweispying-idUSBRE89G1Q920121017
Frank Gotta
Chefredakteur
Security Newsletter 22/12
Oracle Critical Patch Update im Oktober ........................ 1
Oracle aktualisiert Java .................................................... 2
Schwachstellen im Adobe Shockwave Player beseitigt ... 2
Mehrere Sicherheitslücken in IBM DB2 Version 9.7 ...... 2
Windows
CA ARCserve Backup for Windows mit
Sicherheits-lücken ............................................................ 3
Sicherheitsrelevanter Fehler in der Symantec Ghost
Solution Suite ................................................................... 3
Unix/Linux
Solaris: Neues aus dem Third Party Vulnerability
Resolution Blog ............................................................... 3
Korrekturen für Dienstprogramme unter IBM AIX ......... 4
HP-UX: Drei neue Bulletins zu Java und BIND .............. 4
Kurzmeldungen ................................................................ 4
Impressum ........................................................................ 6
■ Oracle Critical Patch Update im Oktober
Betriebssystem
Software
Angriffe
Schutz
alle Systeme
diverse Oracle-Produkte
diverse
Software-Update
Mit dem vierteljährlichen Critical Patch Update im Oktober 2012 geht Oracle die stattliche Zahl von insgesamt 109
Schwachstellen in diversen seiner Software-Produkten an.
(fgo)
Problem
Betroffen sind folgende Produkte:
• Oracle Database 10g, 11g
• Oracle Fusion Middleware 11g
• Oracle Forms and Reports 11g
• Oracle BI Publisher 10.x, 11.x
Seite 1
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Oracle Event Processing 2.0, 11.x
Oracle Identity Management 10g
Oracle Imaging and Process Management 10.1.3.6.0
Oracle JRockit R28.2.4 und früher, R27.7.3 und früher
Oracle Outside In Technology 8.3.7
Oracle WebLogic Server 9.x, 10.x, 12.x
Oracle WebCenter Sites 6.x, 7.x, 11.x
Oracle E-Business Suite Release 11i, 12
Oracle Agile PLM For Process 5.x, 6.x
Oracle Agile PLM Framework 9.x
Oracle Agile Product Supplier Collaboration for Process 5.2.2, 6.1.0.0
Oracle PeopleSoft Enterprise Campus Solutions 9.0
Oracle PeopleSoft Enterprise PeopleTools 8.x
Oracle Siebel UI Framework 8.1.1
Oracle Central Designer 1.3, 1.4, 1.4.2
Oracle Clinical/Remote Data Capture 4.6.0, 4.6.2
Oracle FLEXCUBE Direct Banking 5.x, 6.x, 12
Oracle FLEXCUBE Universal Banking 10.x, 11.x, 12
Oracle Sun Product Suite
Oracle Secure Global Desktop 4.6
Oracle VM Virtual Box 3.2, 4.0, 4.1
Oracle MySQL Server 5.1.63 und früher, 5.5.25 und
früher
Empfehlung
Über die Bezugsquellen der jeweiligen Patches gibt das
Oracle Critical Patch Update Advisory [1] Auskunft.
Information
[1] http://www.oracle.com/technetwork/topics/security/cpu
oct2012-1515893.html
■ Oracle aktualisiert Java
Betriebssystem alle Systeme
Software JDK und JRE 5, 6, 7; SDK und JRE
1.4.2_38 und früher; Java FX 2.2
und früher
Angriffe remotes Ausführen von Code
Schutz Software-Update
Oracle hat im Rahmen des regulären Java SE Critical
Patch Update im Oktober 2012 neue Versionen von Java
SE und FX veröffentlicht. (fgo)
Problem
Laut entsprechendem Advisory [1] werden mit dem Einspielen des Updates insgesamt 30 Sicherheitslücken der
Vorgängerversionen beseitigt, 29 davon lassen sich remote
ohne vorherige Authentifizierung ausnutzen. Überwiegend
erlauben die Schwachstellen als schwerwiegendsten Fall
die unbefugte Codeausführung.
Empfehlung
Die aktuellen Versionen Java Platform (JDK) 7u9, Java
FX 2.2.3, JDK 7u9 + NetBeans und JDK 7 + Java EE
stehen zum Download [2] bereit.
Information
[1] http://www.oracle.com/technetwork/topics/security/jav
acpuoct2012-1515924.html
[2] http://www.oracle.com/technetwork/java/javase/downl
oads/index.html
Seite 2
■ Schwachstellen im
Adobe Shockwave Player beseitigt
Betriebssystem Windows, Mac OS
Software Adobe Shockwave Player
11.6.7.637 und früher
Angriffe remotes Ausführen von Code
Laut Hersteller-Bulletin APSB12-23 [1] beseitigt ein Update für den Adobe Shockwave Player insgesamt sechs
Sicherheitslücken. (fgo)
Problem
Bei den Schwachstellen im Shockwave Player 11.6.7.637
und früher handelt es sich um fünf Pufferüberläufe sowie
einen Begrenzungsfehler. Alle lassen sich von Angreifern
ausnutzen, um remote Code auf einem betroffenen Zielsystem auszuführen.
Empfehlung
Adobe stellt den Shockwave Player in der aktuellen Version 11.6.8.638 zum Download [2] bereit, in der die Fehler
korrigiert wurden.
Information
[1] http://www.adobe.com/support/security/bulletins/apsb12-23.html
[2] http://get.adobe.com/shockwave/
■ Mehrere Sicherheitslücken in
IBM DB2 Version 9.7
Betriebssystem AIX, HP-UX, Linux, Solaris,
Windows
Software DB2 9.7
Angriffe remotes Ausführen von Code,
Zugriff auf sensible Informationen
IBM hat etliche Schwachstellen in DB2 für Linux, UNIX
und Windows Version 9.7 behoben [1]. Betroffen sind DB2
Enterprise Server Edition, DB2 Workgroup Server (alle Editionen), DB2 Express Server (alle Editionen), DB2 Personal Edition und DB2 Connect Server (alle Editionen). (fgo)
Problem
1. Eine Schwachstelle erlaubt es, JAR-Dateien auf dem
DB2-Server zu manipulieren [2].
2. Fehler in den Prozeduren GET_WRAP_CFG_C und
GET_WRAP_CFG_C2 mach das Lesen beliebiger
XML-Dateien möglich [3].
3. Ein Pufferüberlauf auf dem Stack in der Java Stored
Procedure Infrastructure lässt sich zur remoten Codeausführung missbrauchen [4].
4. Auch ein Pufferüberlauf in der SQL/Persistent Stored
Modules (PSM) Debugging Infrastructure ermöglicht
die unbefugte Codeausführung [5].
Empfehlung
Das DB2 Version 9.7 Fix Pack 7 for Linux, UNIX, and
Windows [6] behebt die Schwachstellen.
Information
[1] http://www-01.ibm.com/support/docview.wss?uid=swg21450666
[2] http://www-01.ibm.com/support/docview.wss?uid=swg1IC84714
[6]http://www-01.ibm.com/support/docview.wss?uid=swg24033685
Unix
Windows
■ CA ARCserve Backup for Windows
mit Sicherheitslücken
Betriebssystem Windows
Software CA ARCserve Backup for
Windows r12.5, r15, r16
Denial of Service
CA ARCserve Backup for Windows ist von zwei remote
ausnutzbaren Schwachstellen betroffen [1]. (fgo)
Problem
1. Ein Fehler bei der Verarbeitung von RPC-Anforderungen lässt ich zum remoten Ausführen beliebigen Codes
oder zu Denial-of-Service-Attacken gegen den Server
ausnutzen.
2. Eingehende Daten bei RPC-Anfragen werden nicht
ausreichend validiert, was erfolgreiche DoS-Angriffe
gegen den Server oder gegen Agenten zur Folge haben
kann.
Empfehlung
Patches zur Behebung der Probleme stehen zur Verfügung.
Information
[1] https://support.ca.com/irj/portal/anonymous/phpsupcontent
?contentID={F9EEA31E-8089-423E-B746-41B5C9DD2AC1}
■ Sicherheitsrelevanter Fehler in der
Symantec Ghost Solution Suite
Betriebssystem Windows
Software Symantec Ghost Solution Suite 2.x
Denial of Service
In der Symantec Ghost Solution Suite 2.x lässt sich eine
Korrumpierung des Speichers zu Angriffen nutzen [1].
(fgo)
Problem
Über manipulierte Backup-Dateien, die in der Ghost Solution Suite geöffnet werden, lässt sich ein Speicherfehler
provozieren. Dieser kann zur Ausführung von beliebigem
Code oder zu einer Denial-of-Service-Attacke missbraucht
werden.
Empfehlung
Symantec stellt zur Korrektur den Patch GSS25x_b2620
[2] zur Verfügung. Bei älteren Versionen ist vor dem Einspielen des Patch ein Upgrade auf die Version Symantec
Ghost Solution Suite 2.5.1 erforderlich.
Information
[1] http://www.symantec.com/security_response/securityu
pdates/detail.jsp?fid=security_advisory&pvid=security_a
dvisory&year=2012&suid=20121010_00
[2] http://www.symantec.com/docs/TECH197839
■ Solaris: Neues aus dem
Third Party Vulnerability Resolution Blog
Betriebssystem Solaris 9, 10, 11
Software Samba, Virtual Desktop Infrastructure, libexif, StarDict, libotr,
Fetchmail, gnutls, Gimp, LibTIFF,
libdbus, ISC BIND, 7-zip
Denial of Service, Zugriff auf
sensible Informationen
Der Third Party Vulnerability Resolution Blog von Oracle
führt neue Schwachstellen in Solaris samt zugehöriger
Patches auf. (fgo)
Problem
1. In der Samba-Implementierung für Solaris 9 und 10
liegt eine DoS-Schwachstelle vor [1]. Schwerwiegender ist eine Sicherheitslücke in Samba für Solaris 9, 10
und 11, die die remote Codeausführung erlaubt [2].
2. Apache Tomcat für die Oracle Virtual Desktop Infrastructure (VDI) 3.2 und 3.3 ist für DoS-Attacken anfällig [3].
3. Mehrere Schwachstellen in der Bibliothek Libexif von
Solaris 11 erlauben remoten Angreifern unter anderem,
beliebigen Code zur Ausführung zu bringen [4].
4. StarDict für Solaris 11 erlaubt den unbefugten Zugriff
auf sensible Informationen aus dem Clipboard des Benutzers. [5].
5. Mehrere Heap-Overflow-Schwachstellen in der von
Solaris genutzten Bibliothek libotr erlauben unter anderem Denial-of-Service-Attacken und wahrscheinlich
auch die unbefugte remote Ausführung von beliebigen
Befehlen [6].
6. Zwei Schwachstellen in Fetchmail für Solaris 11 erlauben remote Angriffe [7].
7. Zwei Fehler in gnutls können jeweils zu einem Denial
of Service führen [8], [9].
8. Gimp weist eine Sicherheitslücke auf, die die remote
Codeausführung erlaubt [10].
9. Eine Schwachstelle in der Bibliothek LibTIFF lässt
sich zu DoS-Attacken missbrauchen [11].
10. Über eine Schwachstelle in der Bibliothek libdbus kann
sich ein lokaler Anwender Root-Rechte verschaffen
[12].
11. Mehrere Schwachstellen liegen in den von Solaris
eingesetzten Versionen von ISC BIND vor [13], [14].
12. Eine nicht näher spezifizierte Schwachstelle im Packer
7-zip ist mit dem höchsten Gefährdungsgrad eingestuft
[15].
Empfehlung
Über die jeweiligen Einträge im Third Party Vulnerability
Resolution Blog sind die Links zu den bereitgestellten
Updates verfügbar.
Information
[1] https://blogs.oracle.com/sunsecurity/entry/cve_2011_0719_denial_of
[2] https://blogs.oracle.com/sunsecurity/entry/cve_2012_1
182_arbitrary_code
Seite 3
[4] https://blogs.oracle.com/sunsecurity/entry/multiple_vul
nerabilities_in_libexif1
260_information_exposure
[7] https://blogs.oracle.com/sunsecurity/entry/multiple_vul
nerabilities_in_fetchmail
128_buffer_overflow
[10] https://blogs.oracle.com/sunsecurity/entry/cve_2012_
4245_arbitrary_code
3524_permissions_privileges
6536_unspecified_vulnerability
■ Korrekturen für Dienstprogramme
unter IBM AIX
Betriebssystem AIX 5.3 Service Extension,
AIX 6.1, 7.1
Software FTP-Client
Angriffe Zugriff auf sensible Informationen,
Denial of Service
Zwei Advisories von IBM greifen Schwachstellen in Programmen für AIX-Systeme auf. (fgo)
Problem
1. Der FTP-Client erlaubt es, Lesebeschränkungen zu umgehen und Dateien zu lesen, die für den lokalen Benutzer „ftp“ eigentlich nicht zugänglich sein sollten [1].
2. Eine Schwachstelle in ISC BIND erlaubt einem remoten
Angreifer einen Denial-of-Service-Angriffe [2].
Empfehlung
IBM hat die Fehler in APARs korrigiert. Zudem stehen
Bugfixes für den FTP-Client [3] und BIND [4] zur Verfügung.
Information
[1] http://aix.software.ibm.com/aix/efixes/security/ftp_advisory1.asc
[2] http://aix.software.ibm.com/aix/efixes/security/bind9_advisory5.asc
[3] ftp://aix.software.ibm.com/aix/efixes/security/ftp_fix1.tar
[4] ftp://aix.software.ibm.com/aix/efixes/security/bind9_fix5.tar
■ HP-UX: Drei neue Bulletins
zu Java und BIND
Betriebssystem
Software
Angriffe
Schutz
HP-UX
JRE, JDK, ISC BIND
diverse
Software-Update
HP hat drei neue Security-Bulletins zu Schwachstellen in
Software für Systeme unter HP-UX veröffentlicht. (fgo)
Problem
1. Zur Behebung von Schwachstellen im Java Runtime
Environment (JRE) und im Java Developer Kit (JDK)
für HP-UX werden JDK und JRE 7.0.03 zum Download
bereitgestellt [1].
Seite 4
2. BIND 9.3 vor C.9.3.2.14.0 für HP-UX B.11.31 sowie
BIND 9.3 vor C.9.3.2.12.0 für HP-UX B.11.11 und
B.11.23 weisen eine Schwachstelle auf, die sich über
das Einspielen neuer BIND-Versionen schließen lässt [2].
3. Für Systeme unter HP-UX B.11.11, B.11.23 und
B.11.31, auf denen noch HP JDK und JRE 6.0.15 oder
früher zum Einsatz kommen, steht ein korrigierendes
Java-Update auf Version 6.0.16 zum Download zur
Verfügung [3].
Empfehlung
Die Links zu den Updates sind im jeweiligen Bulletin
aufgeführt.
Information
[1] http://h20000.www2.hp.com/bizsupport/TechSupport/
Document.jsp?objectID=c03533078
[2] http://h20000.www2.hp.com/bizsupport/TechSupport/
Document.jsp?objectID=c03526327
[3] http://h20565.www2.hp.com/portal/site/hpsc/template.
PAGE/public/kb/docDisplay/?spf_p.tpst=kbDocDisplay&s
pf_p.prp_kbDocDisplay=wsrpnavigationalState%3DdocId%253Demr_na-c035389571%257CdocLocale%253Dde_DE%257CcalledBy%253D
&javax.portlet.begCacheTok=com.vignette.cachetoken&ja
vax.portlet.endCacheTok=com.vignette.cachetoken
Kurzmeldungen
DoS-Schwachstelle in ISC BIND
ISC BIND in den Versionen 9.x vor 9.7.6-P4, 9.8.x vor
9.8.3-P4, 9.9.x vor 9.9.1-P4, 9.4-ESV sowie 9.6-ESV vor
9.6-ESV-R7-P4 weist eine Schwachstelle bei der Verarbeitung von RDATA auf, die sich remote missbrauchen lässt,
um einen Denial of Service zu provozieren [1]. Es stehen
Patches auf BIND 9.7.7, 9.7.6-P4, 9.6-ESV-R8, 9.6-ESVR7-P4, 9.8.4, 9.8.3-P4 und 9.9.2, 9.9.1-P4 zum Download
[2] bereit, in denen der Fehler beseitigt wurde. (fgo)
[1] https://kb.isc.org/article/AA-00801
[2] http://www.isc.org/downloads/all
XSS-Schwachstelle in Firefox
und Thunderbird beseitigt
Firefox und Thunderbird sind in der Version 16.0.2 erschienen, die eine Cross-Site-Scripting-Schwachstelle der
Vorgängerversionen beseitigt [1]. Der Download von
Firefox 16.0.2 ist unter [2] und von Thunderbird 16.0.2
unter [3] möglich. (fgo)
[1] https://www.mozilla.org/security/announce/2012/mfsa2012-90.html
[2] http://www.mozilla.org/en-US/firefox/all.html
[3] https://www.mozilla.org/en-US/thunderbird/all.html
Nicht gepatchte Schwachstelle in
Novell ZENworks Asset Management
Die Webkonsole von Novell ZENworks Asset Management 7.5 weist laut einer Meldung des US-CERT [1] eine
Schwachstelle auf, die es remoten Angreifern erlaubt,
Dateien mit den Systemrechten zu lesen und Konfigurationsparameter aus ZENworks Asset Management abzurufen. Ein Patch zur Korrektur der Schwachstelle, für die ein
Expoit [2] vorliegt, ist bislang nicht verfügbar. (fgo)
[1] http://www.kb.cert.org/vuls/id/332412
[2] https://community.rapid7.com/community/metasploit/b
log/2012/10/15/cve-2012-4933-novell-zenworks
XSS-Schwachstelle betrifft Appliance
SIMATIC S7-1200
In der Webapplikation für Siemens SIMATIC S7-1200
V2.x, V3.0.0 und V3.0.1 liegt eine remote ausnutzbare
Cross-Site-Scripting-Schwachstelle im eingebetteten Webserver vor [1]. Der Hersteller stellt ein Firmware-Update
zur Verfügung, über das sich diese Sicherheitslücke
schließen lässt. (fgo)
[1] http://www.siemens.com/corporatetechnology/pool/de/forschungsfelder/siemens_security_adv
isory_ssa-279823.pdf
Drupal-Update schießt Sicherheitslücken
[1] https://kc.mcafee.com/corporate/index?page=content&id=KB76535
[2] http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-5166
Windows
Bug im Hitachi Serverconductor/
Deployment Manager
Im Hitachi Serverconductor/Deployment Manager liegt
eine Schwachstelle vor, die remoten Angreifern eine Directory-Traversal-Attacke erlaubt [1]. Es existiert ein Bugfix vonseiten des Herstellers. (fgo)
[1] http://xforce.iss.net/xforce/xfdb/71832
Die Content-Management-Plattform Drupal in den 7.x-Versionen vor 7.16 (Drupal 6 ist nicht betroffen) weist zwei Sicherheitslücken auf. Eine davon kann von Angreifern ausgenutzt werden, um beliebige PHP-Kommandos auf einem
Zielsystem auszuführen. Eine weitere lässt sich zum unbefugten Zugriff auf sensible Informationen missbrauchen.
Abhilfe schafft das Einspielen des Updates auf die DrupalVersion 7.16, die zum Download [2] bereitsteht. (fgo)
[1] http://drupal.org/node/1815912
[2] http://drupal.org/node/1815904
Winmail Server mit zwei XSS-Schwachstellen
Pufferüberlauf in der BM DB2 SQL/PSM
Stored Procedure Infrastructure
Unix
Ein Pufferüberlauf in der BM DB2 SQL/PSM Stored Procedure Infrastructure erlaubt am System authentifizierten Angreifern, unbefugt Code auszuführen [1]. Betroffen ist DB2
(Advanced Enterprise Server, Enterprise Server, Express,
Express-C, Personal, Workgroup Server) für alle unterstützten Plattformen in den Versionen 9.1, 9.5, 9.7, 9.8 und
10.1. Ein Bugfix ist bislang nur für DB2 V9.7 verfügbar, für
DB2 V9.5, V9.8 und V10.1 sind Fixes angekündigt. (fgo)
[1] http://www-01.ibm.com/support/docview.wss?uid=swg21614536
Offene Ports stören Betrieb von
IBM XIV Storage System Gen3
Auf den Appliances IBM XIV Storage System Gen3
(MTM 2810-114, 2812-114) mit Codeversionen vor
11.0.1.a existieren mehrere offene TCP-Ports, über die bei
Zugriffen im Rahmen von Tests ein Denial of Service
ausgelöst werden kann [1]. Zur Abhilfe steht ein Update
auf Codeversion 11.1.0.a zur Verfügung. (fzi)
[1] http://www-01.ibm.com/support/docview.wss?uid=ssg1S1004217
Router und Switches von HP, 3COM und
H3C mit Sicherheitslücke
Zahlreiche Router und Switches der Vertriebsmarken HP,
3COM und H3C weisen eine Schwachstelle auf, die den
Zugriff auf sensible Informationen erlaubt [1]. HP hat eine
Liste der betroffenen Geräte veröffentlicht [2] und bietet
nach eigenen Angaben für alle Geräte korrigierende Patches zum Download [3] an. (fzi)
[1] http://www.kb.cert.org/vuls/id/225404
[2] https://h20566.www2.hp.com/portal/site/hpsc/public/k
b/docDisplay?docId=emr_na-c03515685
[3] http://www.hp.com/networking/support
McAfee Firewall Enterprise
von BIND-Schwachstelle betroffen
Die McAfee Firewall Enterprise in den Versionen 7.0.1.02
bis 7.0.1.03, 8.2.x und 8.3.x [1] ist von der Schwachstelle
in BIND [2] betroffen, über die ein Denial of Service provoziert werden kann. Veröffentlicht wurde bislang nur das
korrigierende Update 7.0.1.03H06. Die Versionen 8.2.1P06
und 8.3.0P02 sind bislang noch nicht verfügbar. (fzi)
Der Winmail Server weist nach einer Meldung von
Secunia [1] zwei Cross-Site-Scripting-Schwachstellen auf.
Verifiziert wurden diese für die aktuelle Version 5.0 Build
0620, wahrscheinlich sind auch andere Versionen betroffen. Vonseiten des Herstellers Amax Information Technologies [2] erfolgte bislang noch keine Reaktion. (fgo)
[1] http://secunia.com/advisories/50631/
[2] http://www.magicwinmail.net/
Sicherheits-Update für den Mail-Server Exim
verfügbar
Der Mail-Server Exim weist in den Versionen 4.70 bis
inklusive 4.80 eine Schwachstelle bei der Unterstützung
von DKIM (DomainKeys Identified Mail) auf, die sich
von Angreifern zur remoten Codeausführung missbrauchen lässt [1]. Diese Sicherheitslücke lässt sich durch das
Einspielen des Updates auf Exim 4.80.1 [2] eliminieren.
(fgo)
[1] https://lists.exim.org/lurker/message/20121026.080330
.74b9147b.de.html
[2] ftp://ftp.exim.org/pub/exim/exim4/exim-4.80.1.tar.gz
DoS-Schwachstelle in hostapd
In hostapd Version 0.6 bis 1.0 liegt eine Schwachstelle bei
der Validierung von EAP-TLS-Nachrichten vor. Das Feld
„message length“ wird nicht ausreichend überprüft, sodass
ein remoter Angreifer mithilfe manipulierter EAP-TLSNachrichten den Dienst zum Absturz bringen kann. Diese
Schwachstelle ist nur ausnutzbar, wenn der interne
Authentifizierungsdienst verwendet wird [1]. Korrekturen
können durch das Einspielen des angebotenen Patch [2]
vorgenommen werden. (fzi)
[1] http://www.pre-cert.de/advisories/PRE-SA-2012-07.txt
[2] http://w1.fi/gitweb/gitweb.cgi?p=hostap.git;a=commit
diff;h=586c446e0ff42ae00315b014924ec669023bd8de
Korenix JetPort 5600 mit hartcodiertem
Passwort
In der Linux-Firmware des Korenix Jetport 5600 Serie
Serial-Device Servers ist das hardcoded Passwort „password“ für den Root-Account hinterlegt. Dies ermöglicht es
entfernten Angreifern, administrativen Zugriff über eine
SSH-Sitzung zu erhalten [1]. Eine neue Version ist verfügbar, die diese Schwachstelle beseitigt. (fzi)
[1] http://www.us-cert.gov/control_systems/pdf/ICSA-12-297-02.pdf
Seite 5
Mac OS
Impressum
Apple aktualisiert Java für Mac OS X
Verlag:
WEKA MEDIA GmbH & Co. KG
Römerstraße 4, 86438 Kissing
Tel.: 0 82 33.23-40 02
Fax: 0 82 33.23-74 00
http://www.weka.de
Apple hat auf das Oracle-Update von Java reagiert und die
bislang verwendete Version Java 1.6.0_35 auf die Version
1.6.0_37 aktualisiert, die für Mac OS X 10.6.8, Mac OS X
Server 10.6.8, OS X Lion 10.7 oder später, OS X Lion
Server 10.7 oder später sowie OS X Mountain Lion 10.8
oder später verfügbar ist [1]. (fgo)
[1] http://support.apple.com/kb/HT5549
Herausgeber:
WEKA MEDIA GmbH & Co. KG
Gesellschafter der WEKA MEDIA GmbH & Co. KG sind als
Kommanditistin:
WEKA Business Information GmbH & Co. KG
und als Komplementär:
WEKA MEDIA Beteiligungs-GmbH
Geschäftsführer:
Stephan Behrens, Michael Bruns, Werner Pehland
Redaktion:
Chefredakteur: Frank Gotta (fgo)
Redakteure: Dr. Matthias Leu (ml), Frank Zinkand (fzi)
[email protected]
Erscheinungsweise:
Der Security Newsletter erscheint 14-tägig.
Abonnentenhotline:
[email protected]
Tel.: 0 82 33.23-73 23
Fax: 0 82 33.23-72 36
Abonnentenverwaltung:
Kundenservice
Römerstr. 4, 86438 Kissing
Tel.: 0 82 33.23-40 02
Fax: 0 82 33.23-74 00
ISBN: 3-8245-0410-3
Preis und Laufzeit des Abonnements:
Der Abonnementpreis für ein halbes Jahr (mind. 12 Ausgaben)
beträgt 148,00 € (inkl. Versand, zzgl. MWST). Das Abonnement
gilt für ein halbes Jahr (mind. 12 Ausgaben) und verlängert sich
automatisch um ein weiteres halbes Jahr, wenn nicht 4 Wochen
vor Ablauf der Bezugszeit schriftlich gekündigt wird.
Haftung:
Die WEKA MEDIA GmbH & Co. KG ist bemüht, ihre Produkte
jeweils nach neuesten Erkenntnissen zu erstellen. Die inhaltliche
Richtigkeit und Fehlerfreiheit wird ausdrücklich nicht zugesichert. Bei Nichtlieferung durch höhere Gewalt, Streik oder Aussperrung besteht kein Anspruch auf Ersatz. Erfüllungsort und
Gerichtsstand ist Kissing. Zum Abdruck angenommene Beiträge
und Abbildungen gehen im Rahmen der gesetzlichen Bestimmungen in das Veröffentlichungs- und Verbreitungsrecht des
Verlags über. Für unaufgefordert eingesandte Beiträge übernehmen Verlag und Redaktion keine Gewähr. Namentlich ausgewiesene Beiträge liegen in der Verantwortlichkeit des Autors. Titel
und alle in ihm enthaltenen Beiträge und Abbildungen sind urheberrechtlich geschützt. Jeglicher Nachdruck, auch auszugsweise,
ist nur mit ausdrücklicher Genehmigung des Verlags und mit
Quellenangabe gestattet.
Mit Ausnahme der gesetzlich zugelassenen Fälle ist eine Verwertung ohne Einwilligung des Verlags strafbar.
Unter
http://www.weka.de/it-security/10317556-%7Eitsecuritynewsletter%7Efsc_formular.html
haben Sie mit dem aktuellen Freischaltcode: lorcyomp Zugriff
aufs Archiv.
Seite 6

SECURITY NEWSLETTER

Transcription

Documents pareils

Lebenslauf - Infopunkt Kennel GmbH

PI 24 siebel8_momentum

Die Fakten zu Ramco Systems

Ksplice: Zero-Downtime-Updates für Oracle Linux (deutsch)

pdf «Helsana Versicherungen – Oracle Enterprise Manager

Oracle Hot Standby

ORACLE Certified Associate OCA - Java SE7 Programmer

Wir haben die Zukunft

Oracle 10g: ein Blick ins Eingemachte