In der Kalenderwoche 14 wurde OpenSSH 3.6, Apache 2.0.45 sowie QuickTime Player 6.1 veröffentlicht, die jeweils Schwachstellen beheben. In Solaris 2.5.1, 2.6 und 7 wurde eine Schwachstelle in lpq, in den aktuellen Versionen des RealOnePlayers eine Schwachstelle in der PNG-Bildverabeitung und in den aktuellen KDE-Versionen ein Konfigurationsfehler entdeckt.

• [Generic/OpenSSH] OpenSSH 3.6 released
  Die neue Version OpenSSH 3.6 behebt unter anderem eine potentielle Timing-Schwachstelle gegen RSA, die in OpenSSL entdeckt wurde. Bisher konnte zwar nicht nachgewiesen werden, daß OpenSSH gegen diese Schwachstelle verwundbar ist, eine vorsorgliche Behebung erfolgt dennoch.
  Die neue Version ist über die OpenSSH-Homepage beziehbar.
• [Sun/Solaris] Pufferüberlaufschwachstelle in lpq
  Eine Pufferüberlaufschwachstelle in lpq, einem Werkzeug zur Kontrolle von Druckerwarteschlangen, ermöglicht lokalen Benutzern die Ausführung beliebigen Programmcodes mit den Privilegien des lpd-Prozesses. Unter Solaris 2.5.1, 2.6 und 7 besitzt dieses Programm eine SetUID=root-Flagge, so daß die Schwachstelle zur Kompromittierung des beherbergenden Rechnersystems ausgenutzt werden kann.
• [Generic/Apache] Apache 2.0.45 Released
  Apache Version 2.0.45 behebt verschiedene Schwachstellen. Die neue Version ist auf der Apache-Homepage verfügbar.
• [KDE/kgv, konqueror] Unsichere Konfiguration in KDE
  Der Postscriptviewer kgv und der Browser konqueror des K Desktop Environment-Projektes (KDE) rufen zur Darstellung von Postscript-Dateien das Programm gs (ghostscript) ohne die Option -dPARANOIDSAFER auf. Dies führt dazu, daß in der dargestellten Postscript-Datei enthaltener Scriptcode mit den Privilegien des kgv oder konqueror benutzenden Users ausgeführt werden kann.
• [MS/QuickTime] QuickTime Player 6.1 für Windows behebt Pufferüberlaufschwachstelle
  Der Apple QuickTime Player für Microsoft Windows Plattformen weist in Versionen vor 6.1 eine Pufferüberlaufschwachstelle auf, durch die mittels eines speziell gestalteten QuickTime-URL beliebiger Programmcode mit den Privilegien des QuickTime-Benutzers ausgeführt werden kann.
• [Generic/RealOne Player] Schwachstelle in RealOne-Player durch PNG-Dateien
  Der RealOne-Player weist eine Schwachstelle durch eine veralterte Kompressionsbibliothek für Portable Network Graphics (PNG) Dateien auf, wodurch Angreifer Programmcode mit den Privilegien des RealOne-Player-Benutzers ausführen können.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/