Eine Schwachstelle in den kryptographischen Bibliotheken Crypto-C und Cert-C des Verschlüsselungssoftwareherstellers RSA Inc. kann dazu ausgenutzt werden, die aufrufende Applikation oder das Betriebssystem des beherbergenden Rechnersystems in einen unbenutzbaren Zustand zu bringen (Denial of Service). Die Bibliotheken werden in den Produkten zahlreicher Dritthersteller verwendet.

Betroffene Systeme

• RSA BSAFE Crypto-C Bibliothek vor Version 6.3.1
• RSA BSAFE Cert-C Bibliothek vor Version 2.8
• Produkte verschiedener Dritthersteller, die diese Bliotheken verwenden:
  • für Produkte von Cisco Inc. siehe RUS-CERT#1374
  • Weitere: siehe Vulnerability Note VU#754281: Systems Affected

Nicht betroffene Systeme

• RSA BSAFE Crypto-C Version 6.3.1
• RSA BSAFE Cert-C Version 2.8
• Produkte verschiedener Dritthersteller, die diese Bliotheken verwenden:
  • für Produkte von Cisco Inc. siehe RUS-CERT#1374
  • Weitere: siehe Vulnerability Note VU#754281

Einfallstor
Speziell formuliertes Datenobjekt in ASN.1-Notation

Angriffsvoraussetzung
Ein Angreifer muss in der Lage sein, einem verwundbaren System eine entsprechende Nachricht über eine Netzwerkverbindung zu senden. Dabei ist es nicht erforderlich, dass der Angreifer ein gültiges und zugelassenes Zertifikat oder sonstige Authentifizierungsmittel und die damit verbundenen Autorisierungen besitzt.

Auswirkung
Nichtverfügbarkeit der aufrufenden Applikation oder des aufrufenden Betriebssystems
(Denial of Service)

Typ der Verwundbarkeit
unbekannt

Gefahrenpotential
Je nach Einsatz der Bibliothek mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext
Die Abstract Syntax Notation 1 (ASN.1) spezifiziert, wie beliebige Daten in strukturierter Form abgelegt werden können. Sogenannte Encoding Rules legen fest, wie diese Daten in einen Strom von Bytes umzuwandeln sind. Dieser Bytestrom kann beispielsweise über ein Rechnernetz zu einem anderen System übertragen werden, welches den Bytestrom dekodieren kann und somit Zugriff auf die ursprünglichen, strukturierten Daten erhält.

Beschreibung
Eine Schwachstelle in den kryptographischen Bibliotheken Crypto-C und Cert-C des Verschlüsselungssoftwareherstellers RSA Inc. kann dazu ausgenutzt werden, die verwendende Applikation oder das Betriebssystem des beherbergenden Rechnersystems in einen unbenutzbaren Zustand zu versetzen (Denial of Service). Die Schwachstelle tritt auf, wenn Routinen der Bibliotheken speziell formulierte Datenobjekte in ASN.1-Syntax verarbeiten. Die Bibliotheken werden von zahlreichen Herstellern in ihren Applikationen und/oder Betriebssystemen verwendet.
Um die Schwachstelle erfolgreich auszunutzen, muss der Angreifer in der Lage sein, einem verwundbaren System eine entsprechende Nachricht über eine Netzwerkverbindung zu senden. Dabei ist es nicht erforderlich, dass der Angreifer ein gültiges und zugelassenes Zertifikat oder sonstige Authentifizierungsmittel und die damit verbundenen Autorisierungen besitzt.

Gegenmaßnahmen

• Installation von RSA BSAFE Crypto-C Version 6.3.1, detailliertere Information ist auf der Support-Seite von RSA Inc. zu finden
• Installation von RSA BSAFE Cert-C Version 2.8, detailliertere Information ist auf der Support-Seite von RSA Inc. zu finden
• für Produkte von Cisco Inc. siehe RUS-CERT#1374
• Weitere: siehe Vulnerability Note VU#754281: Systems Affected

Vulnerability ID

• CVE-2006-3894
• VU#754281

Revisionen dieser Meldung

• V 1.0 (2007-05-23)
• V 1.1 (2007-05-23): Zur Erhöhung der Sichtbarkeit speziell der Information zer betroffenen Cisco-Systeme wurde diese als eigene Meldung veröffentlicht (RUS-CERT#1374).
• V 1.2 (2007-05-24): Information zu weiteren verwundbaren Produkten von Drittherstellern hinzugefügt

Weitere Artikel zu diesem Thema:

• [Cisco/IOS, PIX, ASA, FWSM, CM] Schwachstelle in Verschlüsselungsbibliothek (2007-05-23)
  Eine Schwachstelle in den kryptographischen Bibliotheken Crypto-C und Cert-C des Verschlüsselungssoftwareherstellers RSA Inc. kann dazu ausgenutzt werden, Netzkoppelelemente unter Cisco IOS oder IOS XR, PIX Firewall-Systeme, die ASA Security Appliance oder den Cisco Unified CallManager bzw. dessen beherbergendes Rechnersystem in einen unbenutzbaren Zustand zu versetzen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/