UPDATE: DFN-CERT-2016-1149 OpenSSH: Eine Schwachstelle ermöglicht das Ausspähen von Informationen [Linux][Fedora]

DFN-CERT portal at dfn-cert.de
Wed Jul 20 12:30:02 CEST 2016


Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
  Version 2 (20.07.2016):
    Für Fedora 23 und 24 stehen Sicherheitsupdates im Status 'testing' bereit,
    die 'gsi-openssh' mit den 'openssh'-Paketen synchronisieren und die
    Schwachstelle beheben. Der Identifier FEDORA-2016-16e8d38f57 für das
    Fedora 23 Update wurde schon einmal für ein 'gsi-openssh'-Update zur
    Behebung der Schwachstelle CVE-2016-3115 verwendet. Das ursprünglich damit
    referenzierte Paket wurde allerdings in den Status 'unpushed' gesetzt. Die
    weitergehende Nutzung des Identifiers legt die Vermutung nahe, dass das
    neue Paket die Schwachstellen CVE-2016-3115 (ermöglicht ebenfalls das
    Ausspähen von Informationen) und CVE-2016-6210 adressiert.
  Version 1 (19.07.2016):
    Neues Advisory

Betroffene Software:

  OpenBSD OpenSSH <= 7.2 P2
  

Betroffene Plattformen:

  Red Hat Fedora 23
  Red Hat Fedora 24
  


Ein entfernter, nicht authentifizierter Angreifer kann durch das Senden
langer Passwörter die Benutzer eines Systems abzählen und Benutzernamen
erraten.

Für Fedora 23 und 24 stehen Sicherheitsupdates für OpenSSH im Status
'testing' bereit.


Patch:

  Fedora Security Update FEDORA-2016-16e8d38f57 (Fedora 23, gsi-openssh-7.2p2)

  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-16e8d38f57>

Patch:

  Fedora Security Update FEDORA-2016-1136df48e5 (Fedora 23, openssh-7.2p2)

  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-1136df48e5>

Patch:

  Fedora Security Update FEDORA-2016-7440fa5ce2 (Fedora 24, openssh-7.2p2)

  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-7440fa5ce2>

Patch:

  Fedora Security Update FEDORA-2016-341c83dbd3 (Fedora 24, gsi-openssh-7.2p2)

  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-341c83dbd3>


CVE-2016-6210: Schwachstelle in OpenSSH ermöglicht Ausspähen von
  Informationen

  Falls ein nicht existierender Benutzer mit SSHD authentifiziert werden soll,
  greift der Dienst auf eine fest in den Programmcode eingearbeitete,
  inszenierte Passwortstruktur (Fake Password) zurück, für die der Streuwert
  (Hash) auf dem 'BLOWFISH'-Algorithmus beruht. Dies führt beim Senden langer
  Passwörter während des Authentifizierungsvorgangs zu verkürzten
  Antwortzeiten im Vergleich zu den Antwortzeiten real existierender Benutzer,
  die SHA256 oder SHA512 verwenden.


Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
  <https://portal.cert.dfn.de/adv/DFN-CERT-2016-1149/>

Fedora Security Update FEDORA-2016-16e8d38f57 (Fedora 23, gsi-openssh-7.2p2):
  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-16e8d38f57>

Fedora Security Update FEDORA-2016-1136df48e5 (Fedora 23, openssh-7.2p2):
  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-1136df48e5>

Fedora Security Update FEDORA-2016-7440fa5ce2 (Fedora 24, openssh-7.2p2):
  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-7440fa5ce2>

Schwachstelle CVE-2016-6210 (NVD):
  <http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6210>

Fedora Security Update FEDORA-2016-341c83dbd3 (Fedora 24, gsi-openssh-7.2p2):
  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-341c83dbd3>


(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
-------------- next part --------------
A non-text attachment was scrubbed...
Name: smime.p7s
Type: application/pkcs7-signature
Size: 4686 bytes
Desc: not available
URL: <https://lists.cert.uni-stuttgart.de/pipermail/security-announce/attachments/20160720/b1358ac0/attachment.bin>


More information about the Security-Announce mailing list