Logo von heise online

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.531.613 Produkten

Daniel Bachfeld 36

Alert Sicherheitsupdate für OpenSSL beseitigt vier Lücken

Neue Versionen der Krypto-Bibliothek OpenSSL beseitigen insgesamt vier Schwachstellen, mit denen Angreifer einen Server oder Client mit manipulierten Paketen zum Absturz bringen können. Eine der Lücken beruht auf einem Buffer Overflow und eignet sich wahrscheinlich zum Einschleusen von Code in ein System. Betroffen sind OpenSSL vor 0.9.7l und vor 0.9.8d auf allen Betriebssystemen. Die Updates stehen als Quellcode für Selbstkompilierer zur Verfügung. Die Linux-Distributoren und Teams der BSD-Derivate verteilen unterdessen bereits aktualisierte Pakete. Anwender sollten die Pakete so schnell wie möglich installieren.

Der Buffer Overflow steckt laut Fehlerbericht in der Funktion SSL_get_shared_ciphers. Nutzt eine Anwendung diese Funktion, so kann ein Angreifer mit einer präparierten Liste von Algorithmen den Überlauf provozieren. Mögliche Anwendungen sind unter anderem Webserver mit Client-Authentifizierung, Mailserver (Exim), Mailanwendungen (S/MIME), VPNs (OpenVPN) und andere. Im einfachsten Fall stürzt die Anwendung nur ab, im schlimmsten Fall gelingt es dem Angreifer, eigene Programme auf den Stack zu schreiben und zu starten. Nähere Angaben machen die Entwickler dazu nicht.

Zwei weitere Fehler finden sich im ASN.1-Parser. Bestimmte Strukturen können den Parser derart durcheinander bringen, dass er in eine Endlosschleife gelangt, in der er viel Speicher verbraucht. Laut Bericht ist der Fehler nicht in Versionen vor 0.9.7 zu finden. Zudem verursachen einige öffentliche Schlüssel eine unverhältnismäßig hohe Bearbeitungszeit, was Angreifer für DoS-Attacken ausnutzen können. Der vierte Fehler steckt im Client-Code für SSLv2. Ein präparierter Server kann darüber den Client zum Absturz bringen.

Siehe dazu auch: (dab)

36 Kommentare

Themen:

Anzeige
  1. Neue Sicherheits-Updates: OpenSSL hat sich verpatcht

    Neue Sicherheits-Updates: OpenSSL hat sich verpatcht

    Admins sollten aufpassen, welche abgesicherten OpenSSL-Versionen sie einspielen: Die Patches aus der vergangenen Wochen haben zwei weitere Lücken aufgerissen. Aktualisierte Versionen stehen bereit.

  2. Microsoft-Patchday: Fünf kritische Sicherheitsfixes, vier wichtige und ein mittelschwerer

    Microsoft Patchday: Fünfmal kritisch, viermal wichtig und einmal mittelschwer

    Ab diesem Monat verteilt Microsoft Updates (fast) nur noch als kumulative Rollup-Pakete. Mit verschiedenen Patches flickt der Konzern Lücken in Windows & Co. Aktuell sollen fünf Lücken aktiv unter Beschuss stehen.

  3. Sicherheitsupdate: OpenSSL kann crashen und sich verrechnen

    Sicherheitsupdate: OpenSSL kann crashen und sich verrechnen

    Über drei Schwachstellen können Angreifer OpenSSL attackieren. Davon ist vor allem Version 1.1.0 betroffen. Eine abgesicherte Ausgabe steht zum Download bereit.

  4. Bösartige Repositories können Schadcode über Git ausführen

    Remote Code Execution in Git

    Zwei Sicherheitslücken, welche die Git-Entwickler inzwischen geschlossen haben, ermöglichen Angriffe auf ungepatchte Git-Server und -Clients. Angreifer können so Schadcode einschleusen und ausführen.

  1. Die Neuerungen von Linux 4.4

    Die Neuerungen von Linux 4.4

    Der Linux-Kernel 4.4 bringt Grafiktreiber für den Raspi und die 3D-Beschleunigung unter KVM mit. Neue Ansätze im Block-Layer versprechen High-End-SSDs mehr Leistung zu entlocken. Verbesserungen im Netzwerk-Subsystem sollen die Geschwindigkeit steigern und dadurch DDoS-Attacken erschweren.

  2. RESTful mit CoAP

    Aufruf des Arduino-basierten CoAP-Servers mit Copper-Plugin auf Firefox

    Die letzte Folge hat nachrichtenbasierte Kommunikation über das IoT-Protokoll MQTT adressiert. Als Alternative bietet sich CoAP als REST des kleinen Geräts an.

  3. Was Fedora 23 Neues bringt

    Fedora-Desktop

    Fedora will das BIOS-Update erleichtern und macht Fortschritte beim Umstieg auf Wayland. Neu ist auch eine Cinnamon-Distribution und Unterstützung für OpenGL 4.1.

  1. Neue Drohnenverordnung: Modellflieger laufen Sturm

    Neue Drohnenverordnung: Modellflieger laufen Sturm

    Modellflieger sehen ihr Hobby durch die neuen Regeln zu unbemannten Fluggeräten in Gefahr. Stein des Anstoßes ist die Begrenzung der Flughöhe auf 100 Meter. Eine Kompromiss-Regelung soll sogar kurzfristig gekippt worden sein.

  2. Vodafone Kabel: Fritzboxen verlieren durch Wartungsfehler individuelle Einstellungen

    Vodafone Kabel: Fritzboxen verlieren durch Wartungsfehler Telefonie-Einstellungen

    Vodafone erklärt auf Nachfrage, dass es sich bei der nächtlichen Wartung um einen teilweise missglückten Routine-Eingriff gehandelt habe.

  3. Kennzeichen und Kenntnisnachweis: Neue Pflichten für Drohnenpiloten kommen

    GoPro-Drohne

    Mehr Sicherheit und Privatsphäre bringen die neuen Regeln für Drohnen laut Verkehrsminister Dobrindt. Unter anderem sind Kennzeichen an den Drohnen verpflichtend, ab einem bestimmten Gerätegewicht auch Kenntnisnachweise.

  4. Navigationssystem Galileo: Mehrere Atomuhren auf Satelliten ausgefallen

    Satellitennavigationssystem  Galileo: Mehrere Uhren ausgefallen

    Das europäische Satellitennavigationssystem Galileo hat weiterhin Probleme: Wie der ESA-Chef am Mittwoch mitteilte, sind insgesamt zehn der hochpräzisen Atomuhren ausgefallen, aber noch haben alle Satelliten Backups.

Anzeige