DFN-CERT Portal

Schwachstellen

DFN-CERT-2016-2109: GNU zlib: Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe

Historie

Version 1 (2016-12-21 12:33)
Neues Advisory
Version 2 (2016-12-22 10:00)
Für die SUSE Linux Enterprise Produkte Server, Software Development Kit und Debuginfo in Version 11 SP4 stehen Sicherheitsupdates für zlib bereit.
Version 3 (2017-01-02 12:35)
Für die SUSE Linux Enterprise Produkte Server 12 SP1, 12 SP2 und 12 SP2 for Raspberry Pi, Software Development Kit 12 SP1 und 12 SP2 sowie und Software Development Kit 12 SP1 und 12 SP2 stehen Sicherheitsupdates bereit.
Version 4 (2017-01-09 09:40)
Für openSUSE Leap 42.1 und openSUSE Leap 42.2 stehen Sicherheitsupdates bereit.
Version 5 (2017-04-18 17:46)
IBM informiert darüber, dass die IBM Mobile Connect Versionen 6.1.4, 6.1.5, 6.1.5.1 und 6.1.5.2 von den Schwachstellen betroffen sind, da ZLIB in deren URL Rewriting-Funktion von der HTTP Access Services Komponente verwendet wird, und stellt den Fix IV94058 für IBM Mobile Connect 6.1.5.2 zur Verfügung. Für die Versionen 6.1.4, 6.1.5.0 und 6.1.5.1 empfiehlt IBM zunächst auf eine unterstützte Produktversion zu aktualisieren.
Version 6 (2017-11-14 15:54)
IBM informiert darüber, dass IBM DB2 von den ZLIB-Schwachstellen in IBM JDK betroffen ist. Alle Fix Pack Levels von IBM DB2 V9.7, V10.1, V10.5 und V11.1 in den Editionen Advanced Enterprise Server, Advanced Workgroup Server, Enterprise Server, Express, Express-C, Personal und Workgroup Server und auf allen Plattformen (AIX, HP-UX, Linux, Solaris, Windows) sind verwundbar. IBM stellt als Sicherheitsupdates die jeweils aktuellsten Versionen des IBM JDKs über Fix Central zur Verfügung.

Betroffene Software

GNU zlib
IBM DB2 9.7
IBM DB2 10.1
IBM DB2 10.5
IBM DB2 11.1
IBM Mobile Connect 6.1.4
IBM Mobile Connect 6.1.5
IBM Mobile Connect 6.1.5.1
IBM Mobile Connect 6.1.5.2

Betroffene Plattformen

SUSE Linux Enterprise Debuginfo 11 SP4
SUSE Linux Enterprise Software Development Kit 11 SP4
SUSE Linux Enterprise Software Development Kit 12 SP1
SUSE Linux Enterprise Software Development Kit 12 SP2
GNU/Linux
HP-UX
IBM AIX
Microsoft Windows
openSUSE 13.2
openSUSE Leap 42.1
openSUSE Leap 42.2
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Server 11 SP4
SUSE Linux Enterprise Server 12 SP1
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi

Lösung

Patch

openSUSE Security Update openSUSE-SU-2016:3202-1

Patch

SUSE Security Update SUSE-SU-2016:3209-1

Patch

SUSE Security Update SUSE-SU-2017:0003-1

Patch

SUSE Security Update SUSE-SU-2017:0004-1

Patch

openSUSE Security Update openSUSE-SU-2017:0077-1

Patch

openSUSE Security Update openSUSE-SU-2017:0080-1

Patch

IBM Security Bulletin 2000094

Patch

IBM Security Bulletin 2010282

Beschreibung

Mehrere Schwachstellen in GNU zlib ermöglichen einem entfernten, nicht authentisierten Angreifer das Durchführen von Denial-of-Service-Angriffen.

Für openSUSE 13.2 stehen aktualisierte 'zlib'-Pakete als Sicherheitsupdate bereit.

Schwachstellen

CVE-2016-9843: Schwachstelle in zlib ermöglicht Denial-of-Service-Angriff

Durch eine vom C-Standard abweichende Zeigerarithmetik auf Power-PC Plattformen besteht eine Schwachstelle in zlib, die es ermöglicht, auf Speicherbereiche außerhalb zulässiger Grenzen zuzugreifen (Out-of-Bounds Access) und dadurch eine Speicherschutzverletzung auszulösen. Ein entfernter, nicht authentisierter Angreifer kann einen Denial-of-Service-Angriff durchführen.

CVE-2016-9842: Schwachstelle in zlib ermöglicht Denial-of-Service-Angriff

Durch das Verschieben von negativen Ganzzahlen in der Funktion 'inflateMark' besteht eine Schwachstelle in zlib. Dabei können nicht vorhersehbare Ergebnisse entstehen, welche im folgenden Programmablauf einen Absturz verursachen können. Ein entfernter, nicht authentisierter Angreifer kann einen Denial-of-Service-Angriff durchführen.

CVE-2016-9841: Schwachstelle in zlib ermöglicht Manipulation von Daten und Denial-of-Service-Angriff

Durch die Verwendung einer nicht mehr zeitgemäßen Zeigerarithmetik in 'inffast.c' besteht eine Schwachstelle in zlib, die es ermöglicht, auf Speicherbereiche außerhalb zulässiger Grenzen zuzugreifen (Out-of-Bounds Access) und dadurch eine Speicherschutzverletzung auszulösen. Ein entfernter, nicht authentisierter Angreifer kann einen Denial-of-Service-Angriff durchführen.

Im Kontext der Java SE, Java SE Embedded Komponente von Oracle Java SE (Subkomponente: Util (zlib)) existiert in den unterstützten Versionen Java SE 6u161, 7u151 und 8u144; Java SE Embedded 8u144 eine über mehrere Protokolle leicht auszunutzende Schwachstelle, durch die ein entfernter, nicht authentisierter Angreifer mit Netzwerkzugriff Java SE, Java SE Embedded kompromittieren kann. Der Angreifer kann unautorisiert einige der über Java SE, Java SE Embedded zugänglichen Daten verändern, einfügen oder löschen.

CVE-2016-9840: Schwachstelle in zlib ermöglicht Denial-of-Service-Angriff

Durch eine fehlerhaft umgesetzte Zeigerarithmetik in 'inftrees.c' besteht eine Schwachstelle in zlib, die es ermöglicht, auf Speicherbereiche außerhalb zulässiger Grenzen zuzugreifen (Out-of-Bounds Access) und dadurch eine Speicherschutzverletzung auszulösen. Ein entfernter, nicht authentisierter Angreifer kann einen Denial-of-Service-Angriff durchführen.

Referenzen

© DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf des schriftlichen Einverständnisses des Rechteinhabers.