Logo von heise online

Suche
Daniel Bachfeld 36

Sicherheitsupdate für OpenSSL beseitigt vier Lücken

Neue Versionen der Krypto-Bibliothek OpenSSL beseitigen insgesamt vier Schwachstellen, mit denen Angreifer einen Server oder Client mit manipulierten Paketen zum Absturz bringen können. Eine der Lücken beruht auf einem Buffer Overflow und eignet sich wahrscheinlich zum Einschleusen von Code in ein System. Betroffen sind OpenSSL vor 0.9.7l und vor 0.9.8d auf allen Betriebssystemen. Die Updates stehen als Quellcode für Selbstkompilierer zur Verfügung. Die Linux-Distributoren und Teams der BSD-Derivate verteilen unterdessen bereits aktualisierte Pakete. Anwender sollten die Pakete so schnell wie möglich installieren.

Anzeige

Der Buffer Overflow steckt laut Fehlerbericht in der Funktion SSL_get_shared_ciphers. Nutzt eine Anwendung diese Funktion, so kann ein Angreifer mit einer präparierten Liste von Algorithmen den Überlauf provozieren. Mögliche Anwendungen sind unter anderem Webserver mit Client-Authentifizierung, Mailserver (Exim), Mailanwendungen (S/MIME), VPNs (OpenVPN) und andere. Im einfachsten Fall stürzt die Anwendung nur ab, im schlimmsten Fall gelingt es dem Angreifer, eigene Programme auf den Stack zu schreiben und zu starten. Nähere Angaben machen die Entwickler dazu nicht.

Zwei weitere Fehler finden sich im ASN.1-Parser. Bestimmte Strukturen können den Parser derart durcheinander bringen, dass er in eine Endlosschleife gelangt, in der er viel Speicher verbraucht. Laut Bericht ist der Fehler nicht in Versionen vor 0.9.7 zu finden. Zudem verursachen einige öffentliche Schlüssel eine unverhältnismäßig hohe Bearbeitungszeit, was Angreifer für DoS-Attacken ausnutzen können. Der vierte Fehler steckt im Client-Code für SSLv2. Ein präparierter Server kann darüber den Client zum Absturz bringen.

Siehe dazu auch: (dab)

36 Kommentare

Anzeige
  1. Kritische OpenSSL-Lücke erlaubt gefälschte Server-Zertifikate

    Schlüssel

    Verwundbare Versionen der Kryptobibliothek prüfen die Zertifikatskette nicht richtig, was es Angreifern ermöglicht, eigene Zertifikate für beliebige Domains auszustellen.

  2. Zeitlos: Neue Angriffe auf NTP verwirren das Klientel von Zeitservern

    Neue NTP-Version erschwert Amgriffe auf Zeitserver

    Mit einem Update des Zeitsynchronisations-Dienstes NTP reagieren die Entwickler auf eine Reihe von neuen Angriffen. Damit lässt sich die Kommunikation zwischen Servern und Clients so manipulieren, dass die Clients falsche oder gar keine Zeiten bekommen.

  3. Sicherheitslücken im Android-Multimedia-System eskalieren

    Google-Android

    Die Schwachstellen im Multimedia-System sind gefährlicher als zuerst vermutet: Mit manipulierten MP4-Videos könnten Angreifer Kontrolle übers Smartphone erlangen.

  4. glibc: Dramatische Sicherheitslücke in Linux-Netzwerkfunktionen

    Cyberangriffe

    Sicherheitsforscher entdeckten eine Sicherheitslücke in der zentralen Bibliothek glibc, die sich übers Netz ausnutzen lässt. Mittels speziell präparierter DNS-Pakete kann ein Angreifer Linux-Systeme kapern. Aktualisierte glibc-Versionen sind unterwegs.

  1. Was Fedora 23 Neues bringt

    Fedora-Desktop

    Fedora will das BIOS-Update erleichtern und macht Fortschritte beim Umstieg auf Wayland. Neu ist auch eine Cinnamon-Distribution und Unterstützung für OpenGL 4.1.

  2. Die Neuerungen von Linux 4.4

    Der Linux-Kernel 4.4 bringt Grafiktreiber für den Raspi und die 3D-Beschleunigung unter KVM mit. Neue Ansätze im Block-Layer versprechen High-End-SSDs mehr Leistung zu entlocken. Verbesserungen im Netzwerk-Subsystem sollen die Geschwindigkeit steigern und dadurch DDoS-Attacken erschweren.

  3. Kernel-Log – Was 3.17 bringt (3): Treiber

    Der Linux-Kernel unterstützt 4K-Monitore und moderne Radeon-Chips besser. Thunderbolt soll nun auch bei Apple-Systemen funktionieren. Der Rauswurf von mehr als einem Dutzend Treibern dürfte den Codeumfang von 3.17 gegenüber seinen Vorgängern verkleinern.

  1. Fahreindruck aus dem Ford Fiesta ST200

    Das Sondermodell ST200 bekommt der Fiesta anlässlich des 40. Geburtstages der Baureihe. Am Rand des Festival of Speed im englischen Goodwood konnten wir eine Runde mit dem stärksten Serien-Fiesta der Markengeschichte drehen

  2. Fahrbericht: VW Up 1.0 TSI

    Fahrbericht: VW Up 1.0 TSI

    Mit dem 90 PS kräftigen Turbo-Aggregat entwächst der VW UP den Sphären eines reinen Sparmobils. Zudem will man Konnektivität und Personalisierung verbessert haben. Die erste Probefahrt zeigt gewachsenen Fahrspaß und gewisse Eigenheiten

  3. SpotMini: Robotor-Hund von Boston Dynamics räumt sogar den Geschirrspüler ein

    SpotMini: Robotor-Hund von Boston Dynamics räumt sogar den Geschirrspüler ein

    Wie schon beim humanoiden Robotor "Atlas" der zweiten Generation hat sich Boston Dynamics auch bei der kleineren Ausführung seines vierbeinigen Roboters "Spot" darum bemüht, ihn weniger bedrohlich wirken zu lassen.

  4. Im Test: Mercedes GLC 250

    Mercedes GLC 250 4Matic

    Der Mercedes GLC 250 hat das Zeug, selbst SUV-Gegner von sich zu überzeugen. Wie? Mit einer klassischen Tugend, die die Marke einst auf breiter Front auszeichnete: Er ist überaus komfortabel. Wie angenehm das sein kann, bewies er im Test

Anzeige