Kurzinfo CB-K14/1296 Update 42

4 Risiko: hoch
Information zu Schwachstellen und Sicherheitslücken
Titel: POODLE: SSL 3.0 Protokoll ermöglicht das Ausspähen von Informationen
Datum: 07.01.2016
Software: Digium Asterisk < 1.8.32.1, Digium Asterisk < 11.14.1, Digium Asterisk < 12.6.1, Digium Asterisk < 13.0.0-beta3, Digium Certified Asterisk < 1.8.28-cert2, Digium Certified Asterisk < 11.6-cert7, Fossil <= 1.32, Microsoft Internet Explorer 11, Node.js, Novell eDirectory 8.8 SP7 Patch6, Novell eDirectory <= 8.8 SP8 Patch3, Novell eDirectory <= 8.8 SP8 Patch3 Windows, Novell Identity Manager 4.0.2, Novell Identity Manager 4.5, Novell iManager <= 2.7 SP7 Patch2, Novell iManager <= 2.7 SP7 Patch2 Windows, OpenSSL Project OpenSSL <= 1.0.1I, PolarSSL, Apple iOS < 8.1, Microsoft Windows 7 Sp1 X64, Microsoft Windows 7 Sp1 X86, Microsoft Windows 8 X64, Microsoft Windows 8 X86, Microsoft Windows 8.1 X64, Microsoft Windows 8.1 X86, Microsoft Windows Server 2003 Sp2, Microsoft Windows Server 2003 Sp2 Itanium, Microsoft Windows Server 2003 Sp2 X64, Microsoft Windows RT, Microsoft Windows RT 8.1, Microsoft Windows Server 2008 Sp2 Itanium, Microsoft Windows Server 2008 Sp2 X64, Microsoft Windows Server 2008 Sp2 X86, Microsoft Windows Server 2008 R2 Sp1 Itanium, Microsoft Windows Server 2008 R2 Sp1 X64, Microsoft Windows Server 2012, Microsoft Windows Server 2012 R2, Microsoft Windows Vista Sp2, Microsoft Windows Vista Sp2 X64
Plattform: OS X Server 2.2.5, OS X Server 3.2.2, Cisco Adaptive Security Appliance Software, Cisco AnyConnect, Cisco Application Policy Infrastructure Controller, Cisco Prime Security Manager, Cisco Telepresence ISDN Gateway Software, Cisco Telepresence MCU MSE Serie Software, Cisco Unified Communications Manager, Cisco Wireless LAN Controller, Citrix NetScaler, F5 Networks BIG-IP Access Policy Manager (APM) >= 10.1.0, F5 Networks BIG-IP Access Policy Manager (APM) <= 10.2.4, F5 Networks BIG-IP Access Policy Manager (APM) >= 11.0.0, F5 Networks BIG-IP Access Policy Manager (APM) <= 11.6.0, F5 Networks BIG-IP Advanced Firewall Manager (AFM) >= 11.3.0, F5 Networks BIG-IP Advanced Firewall Manager (AFM) <= 11.6.0, F5 Networks BIG-IP Analytics >= 11.0.0, F5 Networks BIG-IP Analytics <= 11.6.0, F5 Networks BIG-IP Application Acceleration Manager (AAM) >= 11.4.0, F5 Networks BIG-IP Application Acceleration Manager (AAM) <= 11.6.0, F5 Networks BIG-IP Application Security Manager (ASM) >= 10.0.0, F5 Networks BIG-IP Application Security Manager (ASM) <= 10.2.4, F5 Networks BIG-IP Application Security Manager (ASM) >= 11.0.0, F5 Networks BIG-IP Application Security Manager (ASM) <= 11.6.0, F5 Networks BIG-IP Edge Gateway >= 10.1.0, F5 Networks BIG-IP Edge Gateway <= 10.2.4, F5 Networks BIG-IP Edge Gateway >= 11.0.0, F5 Networks BIG-IP Edge Gateway <= 11.3.0, F5 Networks BIG-IP Global Traffic Manager (GTM) >= 10.0.0, F5 Networks BIG-IP Global Traffic Manager (GTM) <= 10.2.4, F5 Networks BIG-IP Global Traffic Manager (GTM) >= 11.0.0, F5 Networks BIG-IP Global Traffic Manager (GTM) <= 11.6.0, F5 Networks BIG-IP Link Controller >= 10.0.0, F5 Networks BIG-IP Link Controller <= 10.2.4, F5 Networks BIG-IP Link Controller >= 11.0.0, F5 Networks BIG-IP Link Controller <= 11.6.0, F5 Networks BIG-IP Local Traffic Manager (LTM) >= 10.0.0, F5 Networks BIG-IP Local Traffic Manager (LTM) <= 10.2.4, F5 Networks BIG-IP Local Traffic Manager (LTM) >= 11.0.0, F5 Networks BIG-IP Local Traffic Manager (LTM) <= 11.6.0, F5 Networks BIG-IP Policy Enforcement Manager (PEM) >= 11.0.0, F5 Networks BIG-IP Policy Enforcement Manager (PEM) <= 11.6.0, F5 Networks BIG-IP Protocol Security Module (PSM) >= 10.0.0, F5 Networks BIG-IP Protocol Security Module (PSM) <= 10.2.4, F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0, F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1, F5 Networks BIG-IP WAN Optimization Module (WOM) >= 10.0.0, F5 Networks BIG-IP WAN Optimization Module (WOM) <= 10.2.4, F5 Networks BIG-IP WAN Optimization Module (WOM) >= 11.0.0, F5 Networks BIG-IP WAN Optimization Module (WOM) <= 11.3.0, F5 Networks BIG-IP WebAccelerator >= 10.0.0, F5 Networks BIG-IP WebAccelerator <= 10.2.4, F5 Networks BIG-IP WebAccelerator >= 11.0.0, F5 Networks BIG-IP WebAccelerator <= 11.3.0, IBM Domino, Juniper Junos Space, Novell Identity Manager 4.0, Novell Identity Manager 4.0.1, Novell Identity Manager 4.0.2, Novell Identity Manager 4.5, NetIQ Sentinel < 7.2 SP2, SUSE Linux Enterprise Security Module 11 SP3, SUSE Linux Enterprise Workstation Extension 12, SUSE Linux Enterprise Software Development Kit 11 SP3, SUSE Linux Enterprise Software Development Kit 12, SUSE Manager 1.7 for SLE 11 SP2, RedHat JBoss Enterprise Web Server 2.1.0, Red Hat OpenShift 2.0 Enterprise, Red Hat OpenShift 2.1 Enterprise, SUSE Studio Onsite 1.3, Cisco ACE Application Control Engine Module , Cisco Email Security Appliance, Cisco Nexus 3000, Cisco Nexus 9000, Juniper Network and Security Manager Appliance NSM3000, Juniper Network and Security Manager Appliance NSMXpress, Sophos Web Appliance, Apple Mac OS X 10.8.5, Apple Mac OS X >= 10.9.5, Canonical Ubuntu Linux 10.04 Lts, Canonical Ubuntu Linux 12.04 Lts, Canonical Ubuntu Linux 14.04 Lts, Cisco IOS, Cisco IOS XE, Debian Linux 7.6 Wheezy, FreeBSD < 8.4-RELEASE-p17, FreeBSD < 8.4-STABLE, FreeBSD < 9.1-RELEASE-p20, FreeBSD < 9.2-RELEASE-p13, FreeBSD < 9.3-RELEASE-p3, FreeBSD < 9.3-STABLE, FreeBSD < 10.0-RELEASE-p10, FreeBSD < 10.1-BETA3-p1, FreeBSD < 10.1-PRERELEASE, FreeBSD < 10.1-RC1-p1, FreeBSD < 10.1-RC2-p1, FreeBSD < 10.1-RC3, GNU/Linux, HP-UX family of operating systems B.11.11, HP-UX family of operating systems B.11.23, HP-UX family of operating systems B.11.31, Juniper JUNOS, Juniper NetScreen ScreenOS, Microsoft Windows , Microsoft Windows Server 2008, Microsoft Windows Server 2008 R2, Microsoft Windows Server 2008 R2 Enterprise, Microsoft Windows Server 2012, Microsoft Windows Server 2012 R2, NetBSD >= 5.1, NetBSD <= 5.1.4, NetBSD >= 5.2, NetBSD <= 5.2.2, NetBSD >= 6.0, NetBSD <= 6.0.6, NetBSD >= 6.1, NetBSD <= 6.1.5, openSUSE 12.3, openSUSE 13.1, openSUSE 13.2, SUSE Linux 10.1, SUSE Linux Enterprise Desktop 11 SP3, SUSE Linux Enterprise Desktop 12, SUSE Linux Enterprise Server 10, SUSE Linux Enterprise Server 10 SP4 LTSS, SUSE Linux Enterprise Server 11, SUSE Linux Enterprise Server 11 SP1 LTSS, SUSE Linux Enterprise Server 11 SP2 LTSS, SUSE Linux Enterprise Server 11 SP3, SUSE Linux Enterprise Server 11 SP3 VMware, SUSE Linux Enterprise Server 12, Red Hat Enterprise Linux Desktop 6, Red Hat Enterprise Linux Desktop 7, Red Hat Enterprise Linux Desktop 7 Supplementary, Red Hat Enterprise Linux Desktop Supplementary 5 Client, Red Hat Enterprise Linux Desktop Supplementary 6, Red Hat Enterprise Linux HPC Node 6, Red Hat Enterprise Linux HPC Node 7, Red Hat Enterprise Linux HPC Node 7 Supplementary, Red Hat Enterprise Linux HPC Node Supplementary 6, Red Hat Enterprise Linux Server 6, Red Hat Enterprise Linux Server 6.6.z EUS, Red Hat Enterprise Linux Server 7, Red Hat Enterprise Linux Server 7 Supplementary, Red hat Enterprise Linux Server Supplementary 5, Red hat Enterprise Linux Server Supplementary 6, Red hat Enterprise Linux Server Supplementary 6.6.z EUS, Red Hat Enterprise Linux Workstation 6, Red Hat Enterprise Linux Workstation 7, Red Hat Enterprise Linux Workstation 7 Supplementary, Red Hat Enterprise Linux Workstation Supplementary 6, Red Hat Fedora 19, Red Hat Fedora 20, Red Hat Fedora 21, Red Hat Fedora 22, Extra Packages for Red Hat Enterprise Linux 6, Extra Packages for Red Hat Enterprise Linux 7, Red Hat Storage Server 2.1
Auswirkung: Ausspähen von Informationen
Remoteangriff: Ja
Risiko: hoch
CVE Liste: CVE-2014-3566
Bezug: GnuTLS Team Hersteller Advisory GNUTLS-SA-2014-3
Beschreibung

OpenSSL ist eine freie Software, die kryptographische Funktionen und Protokolle implementiert. Bestandteil ist auch das TLS-Protokoll (Transport Layer Security). Es wurde ursprünglich als Secure Socket Layer entwickelt und ist immer noch unter dem Namen SSL bekannt.

Asterisk ist eine Software für Telefonanlagen und IP-Telefone der Firma Dignum.

iOS ist das Standardbetriebssystem auf Apple-Geräten wie iPhone, iPod touch und iPad. Es wurde auf Basis des Betriebssystems MAC OS X entwickelt.

Die C-Bibliothek PolarSSL stellt SSL- und TLS-Funktionen zur Verfügung.

Microsoft Windows Vista, Windows 7, Windows 8, Windows 8.1, Windows Server 2003, Windows Server 2008 und Windows Server 2012 sind Betriebssysteme von Microsoft. Windows RT ist ein auf Windows 8 basierendes Betriebssystem, das für mobile Geräte optimiert wurde.

Node.js ist eine Plattform, die auf der JavaScript-Engine von Chrome basiert und für die einfache Erstellung von schnellen, skalierbaren Netzwerkanwendungen entwickelt wurde.

Eine Schwäche Im Design des Protokolls SSL 3.0 ermöglicht einem entfernten, nicht authentifizierten Angreifer in einem Man-in-the-middle-Angriff, Teile von verschlüsselten Nachrichten im Klartext zu erhalten. Betroffen von dieser Schwachstelle sind alle Produkte, die das SSL 3.0 Protokoll implementieren, wie z.B. OpenSSL. Um diese Angriffsmöglichkeit zu forcieren, kann ein Angreifer eine zusätzliche Maßnahme ergreifen. SSL 3.0 ist ein veraltetes, unsicheres Protokoll, das bereits durch seine Nachfolger TLS 1.0, TLS 1.1 und TLS 1.2 abgelöst wurde. TLS Implementierungen sind aber aufgrund der Beibehaltung von Abwärtskompatibilität oftmals in der Lage, bei der initialen Verhandlung zwischen Client und Server die zu benutzende Version des Protokolls miteinander abzusprechen, indem sie immer weiter Vorgängerversionen vorschlagen, bis eine Übereinstimmung auf beiden Seiten erreicht ist. Ein Angreifer kann, wenn er sich im Netzwerk zwischen Client und Server befindet, in einem Man-in-the-middle-Angriff in diese Verhandlung eingreifen und die Protokollversion SSL 3.0 erzwingen. Dieser Angriff auf das Protokoll SSL 3.0 wurde von seinen Entdeckern "POODLE" (Padding Oracle On Downgraded Legacy Encryption) getauft. Erste Informationen von Herstellern, wie z.B. Juniper Networks und Cisco, zu verwundbaren Systemen liegen vor. Diese sind aber nicht abschließend, auch stehen nicht viele Sicherheitsupdates bereit. Die Herstellermeldungen werden kontinuierlich aktualisiert. Update 1: Microsoft hat sein Advisory dahingehend überarbeitet, dass nun eine Anleitung zur Abschaltung von SSL 3.0 in Windows eingearbeitet wurde. F5 Networks stellt ebenfalls Anleitungen für die Abschaltung des SSL 3.0 Protokolls für verschiedene Produktlinien zur Verfügung und hat außerdem weitere verwundbare Produkte identifiziert. Update 2: Apple hat für die OS X Server Version 2.2.5 verfügbar für OS X Mountain Lion v10.8.5 sowie OS X Server Version 3.2.2 verfügbar für OS X Mavericks v10.9.5 und später Sicherheitsupdates herausgegeben. Für Fedora 19 und Fedora 20 wurden aktualisierte Pakete von openssl-1.0.1e und für Fedora 21 aktualisierte Pakete von openssl-1.0.1j veröffentlicht. Für Debian Wheezy wurden ebenfalls aktualisierte Pakete von openssl 1.0.1e veröffentlicht. Sophos Web Appliance (Virtual) ist derzeit noch nicht in der Lage Webseiten zu filtern, die bereits die SSLv3-Unterstützung für HTTPS-Verbindungen deaktiviert haben, da beim Aufbau einer TLS-Verbindung immer zunächst ein SSL-Handshake versucht wird. Sophos arbeitet derzeit an einem Fix und verspricht dessen Release vor dem 24.10.2014. PolarSSL informiert darüber wie SSL 3.0 deaktiviert werden kann. Cisco hat mittlerweile einige Produkte als von der Schwachstelle betroffen ermittelt. Canonical stellt für Ubuntu 10.04 LTS, Ubuntu 12.04 LTS und Ubuntu 14.04 LTS Sicherheitsupdates bereit. Und für Hat Enterprise Linux 6 und 7 stehen für verschiedene Produkte Sicherheitspatches zur Verfügung. Update 3: Juniper informiert darüber, dass auch die Juniper Network and Security Manager Appliances NSM3000 und NSMXpress von der Schwachstelle betroffen sind. Update 4: Asterisk stellt Sicherheitsupdates auf die Versionen Certified Asterisk 1.8.28 und 11.6 sowie Asterisk 1.8, 11, 12 und 13 bereit. Fedora stellt für die Distributionen Fedora 19 und Fedora 20 Asterisk Sicherheitsupdates zur Verfügung. Update 5: Für die Distribution Fedora 21 ist jetzt ebenfalls ein Asterisk Sicherheitsupdate verfügbar. Cisco hat erneut die Liste der verwundbaren Produkte erweitert, insbesondere im Bereich von TelePresence Systemen sind Ergänzungen aufgenommen worden. Für die detaillierte Produktliste prüfen Sie die Herstellerinformation. Von FreeBSD stehen Sicherheitsupdates für OpenSSL bereit. Die Apple iOS Version 8.1 behebt u.a. auch diese Schwachstelle. Update 6: Für Fedora EPEL 6 steht ein Sicherheitsupdate für Asterisk zur Verfügung. Update 7: Die Distribution Fedora 21 stellt für den Subscription-Manager und Python-rhsm Updates zur Verfügung, welche auch die POODLE-Schwachstelle adressieren. Update 8: Für die Distributionen Fedora 19 und Fedora 20 stehen jetzt ebenfalls Sicherheitsupdates für den Subscription-Manager und Python-rhsm zur Verfügung. Update 9: Für openSUSE 12.3 und 13.1 stehen Sicherheitsupdates zur Verfügung. Update 10: Microsoft stellt ein 'Fix it' für die Abschaltung von SSL 3.0 im Internet Explorer zur Verfügung. Update 11: Für HP-UX B.11.11, B.11.23 und B.11.31, die OpenSSL vor Version 0.9.8zc verwenden, stehen Sicherheitsupdates bereit. Juniper hat Informationen zu einem ScreenOS Workaround unter der bekannten Referenz ergänzt. Update 12: Für Fedora 21 stehen für claws-mail-plugins, claws-mail und libetpan Sicherheitsupdates zur Verfügung, welche die Schwachstelle durch das standardmäßige Deaktivieren von SSLv3 Verbindungen beheben. GnuTLS informiert, dass Clients, welche die Standard TLS Handshake Methode, wie sie von GnuTLS dokumentiert ist, nutzen, nicht durch die Schwachstelle betroffen sind. Clients, die nicht den Standard nutzen, sollten auf jeden Fall SSL 3.0 Verbindungen ablehnen. Update 13: NetBSD stellt für alle aktuell unterstützten Versionen Sicherheitsupdates für OpenSSL zur Verfügung, welche auch diese Schwachstelle beheben. Update 14: Für Fedora 19 und Fedora 20 stehen für claws-mail-plugins, claws-mail und libetpan jetzt ebenfalls Sicherheitsupdates zur Verfügung. SUSE stellt für SUSE Linux Enterprise Security Module 11 SP3 ein OpenSSL Sicherheitsupdate bereit, welches mehrere Schwachstellen, inklusive dieser, behebt. Update 15: SUSE veröffentlicht für SUSE Linux Enterprise 11 SP3 für die Produkte Software Development Kit, Server, Server für VMware und Desktop Sicherheitsupdates für OpenSSL, die zusätzlich zu der POODLE-Schwachstelle noch zwei weitere Sicherheitslücken beheben. Update 16: Für die Distribution openSUSE 13.2 steht für 'claws-mail' ein Sicherheitsupdate zur Verfügung. Für SUSE Linux Enterprise Server 11 LTSS stehen für SP1 und SP2 Sicherheitsupdates bereit, welche zusätzlich drei weitere OpenSSL Schwachstellen beheben. Für SUSE Linux Enterprise Server 10 SP4 LTSS wurde ein Sicherheitsupdate bereitgestellt, welches die Schwachstelle zusätzlich zu CVE-2014-3567 und CVE-2014-3568 über Backports behebt. Update 17: Für die Distributionen openSUSE 12.3, openSUSE 13.1 und openSUSE 13.2 stehen für 'libserf', in welchem SSLv2 und SSLv3 deaktiviert wurden, Sicherheitsupdates bereit. Update 18: Für SUSE Studio Onsite 1.3 und SUSE Manager 1.7 for SLE 11 SP2 stehen Sicherheitsupdates in Form aktualisierter Pakete von openssl 0.9.8j bereit. Update 19: Red Hat bietet Sicherheitsupdates von nodejs für Fedora EPEL 6 und 7 an. Die Möglichkeit zur Verwendung von SSL2 und SSL3 wurde in der Software abgeschaltet. Update 20: Red Hat bietet Sicherheitsupdates von nodejs für Fedora 19, 20 und 21 an. Die Möglichkeit zur Verwendung von SSL2 und SSL3 wurde in der Software abgeschaltet. Update 21: Für die Distribution Fedora 21 steht ein Sicherheitsupdate auf Asterisk 11.14.1 zur Verfügung. IBM veröffentlicht Informationen zu der Betroffenheit des IBM Domino Servers. Update 22: Für Fedora EPEL 6 steht ein Sicherheitsupdate auf Asterisk 1.8.32.1 zur Verfügung. Update 23: Für die Distributionen Fedora 19 und Fedora 20 steht ein Sicherheitsupdate auf Asterisk 11.14.1 zur Verfügung. Update 24: Red Hat stellt für den JBoss Web Server 2.1.0 ein Sicherheitsupdate zur Verfügung. Für verschiedene Supplementary Produkte unter Red Hat Enterprise Linux 5, 6 und 7 stehen Sicherheitsupdates für IBM Java zur Verfügung, die diese Schwachstelle ebenfalls beheben. Für SUSE Linux Enterprise 11 SP3 stehen für Software Development Kit, Server, Server für VMware und Desktop Sicherheitsupdates für openwsman und evolution-data-server zur Verfügung. Für SUSE Linux Enterprise Desktop 12 steht ein Sicherheitsupdate für compat-openssl098 bereit, welches auch die Schwachstellen CVE-2014-3567 und CVE-2014-3568 adressiert. Für SUSE Linux Enterprise 12 werden für Software Development Kit, Server und Desktop Sicherheitsupdates bereitgestellt, die auch die Schwachstellen CVE-2014-3513, CVE-2014-3567 und CVE-2014-3568 beheben. Und im Rahmen eines Sicherheitsupdates für IBM Java wird für SUSE Manager 1.7 for SLE 11 SP2 auch diese Schwachstelle behoben. Update 25: Microsoft stellt ein 'Fix it' für den Internet Explorer 11 zur Verfügung, welches genutzt werden kann, um Warnmeldungen zu aktivieren, wenn für Verbindungen auf SSL 3.0 oder frühere Versionen zurückgegriffen wird. Für SUSE Linux Enterprise Desktop 11 SP3 steht ein Sicherheitsupdate für 'compat-openssl097g' bereit, welches zusätzlich sechs weitere Schwachstellen adressiert. Für SUSE Linux Enterprise 11 SP3 stehen für Server, Server für VMware und Desktop Sicherheitsupdates für 'pure-ftpd' zur Verfügung. Update 26: Novell stellt für eDirectory 8.8 SP8 (non-root) für Linux, für Linux und für Windows sowie iManager 2.7 SP7 für Linux und für Windows sowie die eDirectory 8.8 SP8 Plug-ins für iManager 2.7 Sicherheitsupdates zur Verfügung, welche teilweise zusätzlich die Schwachstellen CVE-2014-0075 und CVE-2014-0096 adressieren. Update 27: Novell stellt für verschiedene Versionen des Novell Identity Manager Sicherheitsupdates bereit. Update 28: Für die SUSE Linux Enterprise 11 SP3 Produkte Server, Server für VMware und Desktop stehen Sicherheitsupdates für 'suseRegister' zur Verfügung, über welche die Nutzung von TLS erzwungen wird. Update 29: Novell stellt für das eDirectory 8.8 SP7 Patch 6 den HotFix 3 zur Verfügung, welcher den HotFix 2 ablöst. Update 30: Der Hersteller veröffentlicht ein Sicherheitsupdate für den Novell Identity Manager SOAP Driver. Um diesen zu nutzen wird der Identity Manager in der Version 4.0.2 oder höher benötigt. Update 31: Der Hersteller veröffentlicht über das SUSE Security Update SUSE-SU-2015:0108-1 für die Produkte SUSE Linux Enterprise Workstation Extension 12, Software Development Kit 12 und Desktop 12 Sicherheitsupdates für den Evolution-Data-Server. Update 32: Microsoft teilt mit, dass SSL 3.0-Fallback jetzt für Internet Explorer 11 per Voreinstellung deaktiviert wurde (siehe Microsoft Security Advisory 3009008). Update 33: Novell stellt für die Identity Manager Engine und den Remote Loader des IDM Version 4.5 ein Sicherheitsupdate bereit, welches als Patch bei einer bestehenden 4.5er Installation eingespielt werden soll. Kunden von vorhergehenden IDM Versionen (4.0, 4.0.1 oder 4.0.2) müssen daher erst auf Version 4.5 upgraden, bevor das Sicherheitsupdate aktiviert werden kann. Novell stellt weiterhin einen Sicherheitsupdate für NetIQ Sentinel 7.2 SP2 bereit. Update 34: Für den Novell Identity Manager 4.0.2 - 4.5 stehen Sicherheitsupdates für verschiedene Treiber zur Verfügung: Top Secret Driver Version 3.6.1.10 Patch 1, ACF2 Driver Version 4.0.0.3 Patch 1 und RACF Driver Version 4.0.0.11 Patch 3. Novell stellt weiterhin für das eDirectory 8.8 SP8 Plug-in für den iManager 2.7 ein Update bereit. Update 35: Microsoft teilt mit, dass SSL 3.0 jetzt für den Internet Explorer 11 per Voreinstellung deaktiviert wurde (siehe Microsoft Security Advisory 3009008). Update 36: Für Novell Identity Manager 4.0.2 - 4.5 wurden Sicherheitsupdates für einen weiteren Treiber zur Verfügung gestellt: IDM 4.0.2 Midrange Driver Version 4.0.2. Update 37: HP veröffentlicht für HP-UX auf dem 'sendmail' genutzt wird, eine Anleitung, um die Gefährdung durch die Schwachstelle zu unterbinden. 'sendmail' ist nur verwundbar, wenn es für die Nutzung von 'STARTTLS' konfiguriert ist. In diesem Fall, sollten die folgenden Schritte durchgeführt werden: 1.) Bearbeiten Sie die Konfigurationsdatei “/etc/mail/sendmail.cf”. 2.) Ermitteln Sie die Zeilen, in denen die 'STARTTLS'-Konfiguration gesetzt wird. 3.) Ändern Sie die Zeile, die den folgenden Ausdruck "D{tls_version}<version>" enthält, dahingehend, dass nur die TLS Version 1 genutzt wird. Die Angabe muss dann wie folgt aussehen: "D{tls_version}TLSv1" 4.) Zuletzt müssen Sie die vorgenommen Änderungen speichern und den 'sendmail'-Service neu starten, über die folgenden Befehle: # /sbin/init.d/sendmail stop # /sbin/init.d/sendmail start Update 38: Fedora stelllt für die Distributionen Fedora 21 und Fedora 22 Sicherheitsupdates für Fossil auf Version 1.33 zur Verfügung. Novell stellt Sicherheitsupdates für den IDM 4.5 MSGW Driver 4.0.1.0 für Novell Identity Manager Version 4.0.2 und Identity Manager Version 4.5 zur Verfügung. Update 39: Red Hat veröffentlicht für Red Hat OpenShift Enterprise 2.0 und Red Hat OpenShift Enterprise 2.1 Sicherheitsupdates des node.js Paketes. Update 40: Für Novell Identity Manager 4.0.2 und 4.5 werden Sicherheitsupdates für einen weiteren Treiber zur Verfügung gestellt: IDM 4.5 MSGW Driver 4.0.2.0. Update 41: Novell stellt für den Identity Manager Version 4.0.2 und 4.5 neue Sicherheitsupdates für den Midrange Treiber bereit, der ein Update auf die OpenSSL Version 1.0.1p beinhaltet.

  1. GnuTLS Team Hersteller Advisory GNUTLS-SA-2014-3

  2. Cisco Security Advisory POODLE cisco-sa-20141015-poodle

  3. F5 Networks Security Advisory sol15702

  4. Juniper Networks Security Advisory JSA10656

  5. Microsoft Security Advisory MSA-3009008

  6. Google: "This POODLE bites: Exploiting the SSL 3.0 Fallback"

  7. Internet-Draft, "TLS Fallback Signaling Cipher Suite Value (SCSV) for Preventing Protocol Downgrade Attacks"

  8. Schwachstelle CVE-2014-3566 (NVD)

  9. Apple Security Advisory 2014-005

  10. Apple Security Advisory Apple-ADV-HT6527

  11. Apple Security Advisory Apple-ADV-HT6529

  12. Debian Security Advisory DSA-3053-1

  13. Fedora Security Update FEDORA-2014-12951

  14. Fedora Security Update FEDORA-2014-13012

  15. Fedora Security Update FEDORA-2014-13069

  16. PolarSSL Security Advisory PolarSSL-ADV-2014-03

  17. Red Hat Security Advisory RHSA-2014-1652

  18. Ubuntu Security Notice USN-2385-1

  19. Sophos Security Advisory Sophos-ADV-121526

  20. Apple Security Advisory Apple-ADV-HT6541

  21. Asterisk Project Security Advisory - AST-2014-011

  22. Fedora Security Advisory FEDORA-2014-13360

  23. Fedora Securitys Update FEDORA-2014-13371

  24. Fedora Security Update FEDORA-2014-13399

  25. FreeBSD Security Advisory FreeBSD-SA-14:23.openssl

  26. Fedora Security Update FEDORA-EPEL-2014-3527

  27. Red Hat Security Advisory RHSA-2014:1692

  28. Fedora Security Update FEDORA-2014-13647

  29. Fedora Security Update FEDORA-2014-13794

  30. Fedora Security Update FEDORA-2014-13781

  31. openSUSE Security Update: openSUSE-SU-2014:1331-1

  32. Microsoft Knowledge Base Article 3009008 - 'Fix it' für den Internet Explorer

  33. HP Security Advisory c04492722

  34. Fedora Security Update FEDORA-2014-14217

  35. NetBSD Security Advisory NetBSD-SA2014-015

  36. Fedora Security Update FEDORA-2014-14234

  37. Fedora Security Update FEDORA-2014-14237

  38. SUSE Security Update: SUSE-SU-2014:1357-1

  39. SUSE Security Update: SUSE-SU-2014:1361-1

  40. SUSE Security Update: SUSE-SU-2014:1386-1

  41. SUSE Security Update: SUSE-SU-2014:1387-1

  42. openSUSE Security Update: openSUSE-SU-2014:1384-1

  43. openSUSE Security Update: openSUSE-SU-2014:1395-1

  44. openSUSE Security Update: SUSE-SU-2014:1387-2

  45. Fedora EPEL Security Update FEDORA-EPEL-2014-4144

  46. Fedora EPEL Security Update FEDORA-EPEL-2014-4154

  47. Fedora Security Update FEDORA-2014-15379

  48. Fedora Security Update FEDORA-2014-15390

  49. Fedora Security Update FEDORA-2014-15411

  50. Fedora Security Update FEDORA-2014-15621

  51. IBM Security Advisory IBM Domino

  52. Fedora Security Update FEDORA-2014-15709

  53. Fedora Security Update FEDORA-2014-15730

  54. Fedora Security Update FEDORA-EPEL-2014-4243

  55. Red Hat Security Advisory RHSA-2014:1881

  56. Red Hat Security Advisory RHSA-2014:1882

  57. Red Hat Security Advisory RHSA-2014:1876

  58. Red Hat Security Advisory RHSA-2014:1877

  59. Red Hat Security Advisory RHSA-2014:1880

  60. Red Hat Security Advisory RHSA-2014:1920

  61. SUSE Security Update: SUSE-SU-2014:1526-2

  62. SUSE Security Update: SUSE-SU-2014:1447-1

  63. SUSE Security Update: SUSE-SU-2014:1512-1

  64. SUSE Security Update: SUSE-SU-2014:1519-1

  65. SUSE Security Update: SUSE-SU-2014:1524-1

  66. SUSE Security Update SUSE-SU-2014:1549-1

  67. Microsoft Fix it 51028 - Rückfall auf SSL 3.0 Meldungen im IE 11

  68. SUSE Security Update SUSE-SU-2014:1557-2

  69. SUSE Security Update SUSE-SU-2014:1558-1

  70. Konfigurationshinweise für den SMTP Proxy auf Sophos UTM (121761)

  71. Novell Security Update Novell-ADV-5196292

  72. Novell Security Update Novell-ADV-5196310

  73. Novell Security Update Novell-ADV-5196311

  74. Novell Security Update Novell-ADV-5196312

  75. Novell Security Update Novell-ADV-5196313

  76. Novell Security Update Novell-ADV-5196930

  77. Novell Security Advisory Novell-ADV-5197650

  78. Novell Security Advisory Novell-ADV-5197651

  79. Novell Security Advisory Novell-ADV-5197654

  80. Novell Security Advisory Novell-ADV-5197655

  81. SUSE Security Update SUSE-SU-2015:0010-1

  82. Novell Security Advisory Novell-ADV-5197750

  83. Novell Security Advisory Novell-ADV-5197970

  84. SUSE Security Update SUSE-SU-2015:0108-1

  85. Citrix Security Advisory CTX200238

  86. Novell Security Advisory Novell-ADV-5198710

  87. Novell Security Advisory Novell-ADV-5201370

  88. Novell Security Advisory Novell-ADV-5204618

  89. Novell Security Advisory Novell-ADV-5206551

  90. Novell Security Advisory Novell-ADV-5206570

  91. Novell Security Advisory Novell-ADV-5206590

  92. Novell Security Advisory Novell-ADV-5208410

  93. HP Security Advisory c04506802 (sendmail)

  94. Fedora Security Update FEDORA-2015-9090

  95. Fedora Security Update FEDORA-2015-9110

  96. Novell Security Update Novell-ADV-5211010

  97. Red Hat Security Advisory RHSA-2015:1545

  98. Red Hat Security Advisory RHSA-2015:1546

  99. Novell Security Advisory Novell-ADV-5225150

  100. Novell Security Advisory Novell-ADV-5230811

CERT-Bund bietet personalisierte Warn- und Informationsdienste an.
Bitte registrieren Sie sich, um diese Angebote nutzen zu können.