Network Security

AERAsec
Network Security
Aktuelle Sicherheitsmeldungen


Die meisten Links führen direkt auf die entsprechende Datei der meldenden Organisation, damit Sie die Original-Meldung ebenfalls lesen können. Die Meldungen sind meist auf Englisch.

Übrigens: Wenn für Systeme Risiken veröffentlicht werden, heißt dieses nicht, daß die Systeme, für die keine Risiken veröffentlicht werden automatisch sicherer sind!

Wissen macht Ihre Systeme sicherer
Nutzen Sie die Gelegenheit:
Check Point CCSA R75 und Check Point CCSE R75 in nur fünf Tagen!
Die ideale Vorbereitung auf diese beiden Zertifizierungsprüfungen:

Zertifizierungtraining Check Point CCSA/CCSE R75

mit Dr. Leu
Weitere Trainings finden Sie hier

Das Standardwerk zur Check Point NGX

Hier finden Sie unsere Suchmaschine zur Netzwerk-Sicherheit!


Sie übermitteln u.a. folgende Informationen:

Ihr Browser

CCBot/2.0 (http://commoncrawl.org/faq/)

Ihre Absenderadresse

ec2-54-196-206-80.compute-1.amazonaws.com [54.196.206.80]

Ihr Referer

(gefiltert oder nicht vorhanden)

Aktueller Monat, Letzter Monat, Letzte 10 Meldungen, Letzte 20 Meldungen (nur Index)

Ausgewählt wurde Monat 02 / 2007

System: Turbolinux
Topic: Schwachstellen in bind und php
Links: TLSA-2007-9, CVE-2007-0494, TLSA-2007-11, CVE-2007-0455
ID: ae-200702-077

Ein Angreifer über das Netzwerk kann provozieren, dass der BIND Prozess (named) einen Zeiger auf einen bereits freigegebenen Speicherbereich dereferenziert. Dadurch kann named zum Absturz gebracht werden.
In der Funktiob 'gdImageStringFTEx' der GD Grafik-Bibliothek, die auch von PHP verwendet wird, wurde ein Pufferüberlauf gefunden, der es Angreifern über das Netzwerk ermöglicht, beliebigen Code auszuführen.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Microsoft Windows
Topic: Schwachstelle in der HP Storage Management Appliance (SMA)
Links: HPSBST02194, SSRT071306, ESB-2007.0133
ID: ae-200702-076

Für die Nutzung der SMA sind die letztens erschienenen Patches von Microsoft dringend empfohlen, so dass diese so bald wie möglich installiert sein sollten.

System: Sun Solaris
Topic: Schwachstellen in X Font Server
Links: Sun Alert #102803, CAN-2003-0730, CAN-2006-6101, CAN-2006-6102, CAN-2006-6103
ID: ae-200702-075

Im X Font Server, xfs(1), und den X Render und DBE Erweiterungen der X11 Server Xsun(1) und xorg(1) wurden mehrere Sicherheitslücken gefunden, durch die ein Angreifer Root Rechte erlangen kann. Ein Patch steht jetzt zur Verfügung.

System: Red Hat Enterprise Linux 4
Topic: Mehrere Schwachstellen im Kernel behoben
Links: RHSA-2007-0085, CVE-2007-0001, CVE-2007-0006, ESB-2007.0134
ID: ae-200702-074

Für Red Hat Enterprise Linux 4 stehen jetzt überarbeitete Pakete für den Kernel zur Verfügung. Hierdurch werden verschiedene sicherheitsrelevante Probleme behoben. Sie sollten also möglichst zeitnah installiert sein.

System: Verschiedene
Topic: Schwachstellen in Mozilla Firefox, Mozilla Thunderbird und Mozilla Seamonkey
Links: Mozilla, CVE-2006-6077, CVE-2007-0008, CVE-2007-0009, CVE-2007-0775, CVE-2007-0777, CVE-2007-0778, CVE-2007-0779, CVE-2007-0780, CVE-2007-0800, CVE-2007-0981, CVE-2007-0995, CVE-2007-0996, VU#269484, VU#393921, VU#551436, VU#761756, AL-2007.0028, R-163, RHSA-2007-0077, RHSA-2007-0079, ESB-2007.0130, R-164, R-165, MDKSA-2007:050, MDKSA-2007:050-1, RHSA-2007-0078, ESB-2007.0141, MDKSA-2007:052, TLSA-2007-12, TLSA-2007-13, SUSE-SA:2007:019, DSA-1265, ESB-2007.0155, SUSE-SA:2007:022
ID: ae-200702-073

In der Mozilla Software Firefox, Thunderbird und Seamonkey wurden mehrere Sicherheitslücken gefunden, die es Angreifern über das Netzwerk ermöglichen, beliebigen Code mit den Rechten des betroffenen Benutzers auszuführen. Fehlerbereinigte Software-Versionen stehen jetzt zur Verfügung.

System: Microsoft Windows
Topic: Schwachstelle im Macrovision / InstallShield Update Service Web Agent
Links: VU#847993, CVE-2007-0321, R-157
ID: ae-200702-072

Der InstallShield Update Service, jetzt als Macrovision FLEXnet Connect bekannt, enthält ein ActiveX Control namens Update Service Agent. Dieses ist bei einigen Macrovision und InstallShield Installern für Windows Software enthalten und findet sich in der Datei isusweb.sll. Das Update Service Agent ActiveX Control zeigt in der Methode Download() die Möglichkeit zu einem Pufferüberlauf. Sofern ein Benutzer eine speziell präparierte HTML-Seite anzeigen läßt, kann ein Angreifer auf dem betroffenen System möglicherweise beliebigen Code mit den Rechten des Benutzers ausführen. Diese Schwachstelle läßt sich entweder durch das Deaktiveren dieses ActiveX Controls oder aller aktiven Inhalte beseitigen. Ebenso ist ein Upgrade auf die aktuelle Version sinnvoll.

System: Verschiedene
Topic: Schwachstellen in PHP
Links: mfsa2007-06, CVE-2007-0906, CVE-2007-0907, CVE-2007-0908, CVE-2007-0909, CVE-2007-0910, CVE-2007-0988, MDKSA-2007:048, OpenPKG-SA-2007.010 RHSA-2007-0076
ID: ae-200702-071

In der Programmiersprache PHP bis einschließlich Version 5.2.0 wurden verschiedene Schwachstellen entdeckt. Die Auswirkungen reichen von einem Denial-of-Service bis hin zur Ausführung von Angreifercode über das Netzwerk. Daher wird empfohlen, nur noch mindestens Version 5.2.1 einzusetzen.

System: Verschiedene
Topic: Sicherheitslücken in Mozilla Network Security Services (NSS) SSLv2
Links: mfsa2007-06, iDEFENSE #482, iDEFENSE #483, CVE-2007-0008, CVE-2007-0009, VU#377812, VU#592796, ESB-2007.0132
ID: ae-200702-070

Bei Network Security Services (NSS) handelt es sich um einen Satz von Bibliotheken, die eine plattformübergreifende Programmierung von Client- und Server-Applikationen in Kombination mit Sicherheit ermöglichen. SSL-Clients wie Firefox oder Thunderbird können einen Pufferüberlauf zeigen, wenn ein Server ein Zertifikat präsentiert, dessen öffentlicher Schlüssel zu klein ist, um das "Master Secret" zu verschlüsseln. Dieses ist nur im Protokoll SSLv2 möglich, das heute kaum noch eingesetzt wird. Bei Servern kann bei SSLv2 ein ähnlicher Effekt auftreten, wenn der "Client Master Key" eine ungültige Länge bei Feldern hat, die nicht ausreichend überprüft werden. Der resultierende Pufferüberlauf kann von Angreifern ausnutzbar sein.
Bei Firefox 2 ist die Unterstützung von SSLv2 von Haus aus deaktiviert, bei den anderen Browsern sollte kontrolliert werden, dass dieses Protokoll wirklich ausgeschaltet ist.

System: Verschiedene
Topic: Sicherheitslücke in Mozilla JavaScript Engine
Links: Bugzilla#371312, VU#393921, VU#269484, R-162, RHSA-2007-0077, RHSA-2007-0079
ID: ae-200702-069

Das JavaScript Event 'onUnload' wird beim Verlassen einer Webseite ausgeführt. Über JavaScript kann ein Eventhandler installiert werden, der dieses Ereignis feststellt und ggf. eine Aktion auslöst. Mozilla Firefox zeigt an dieser Stelle einen Fehler, bei dem die Datenstrukturen nicht richtig freigegeben werden. Als Folge tritt ein Speicherfehler auf. Sofern ein Benutzer ein speziell präpariertes HTML-Dokument aufruft, kann ein Angreifer beliebigen Code mit den Rechten des Benutzers ausfürhen. Ein Update auf Version 2.0.0.2 behebt dieses Problem. Sollte ein Update nicht möglich sein, sollte JavaScript deaktivert werden.

System: SGI Advanced Linux Environment
Topic: Schwachstellen in ImageMagick, bind, fetchmail, gnomemeeting, php, samba, postgesql und squirrelmail
Links: SGI_20070201-01
ID: ae-200702-068

SGI hat jetzt für sein SGI Advanced Linux Environment 3 das Security Update #70 veröffentlicht. Hierdurch werden bereits bekannte sicherheitsrelevante Probleme in den Paketen ImageMagick, bind, fetchmail, gnomemeeting, php, samba, postgesql und squirrelmail behoben.
Es wird empfohlen, dieses Update zu installieren.

System: Microsoft Windows
Topic: Schwachstelle im Google Desktop
Links: VU#615857, ESB-2007.0131
ID: ae-200702-067

Die Applikation Google Desktop Search zeigt eine Schwachstelle im Bereich Cross Site Scripting. Ein Angreifer kann ohne weitere Authentisierung über das Netzwerk alle Aktionen durchführen, zu denen die Google Desktop Search Engine die Berechtigung hat. Dazu gehört auch die Ausführung von Code auf dem anfälligen System, die Suche sowie das Ansehen von Dateien, auch wenn sich in ihnen vertrauliche Daten befinden. Google hat eine neue Version von Google Desktop Search herausgegeben, ein Update kann auch automatisch durchgeführt werden.

System: Microsoft Windows
Topic: Schwachstelle im Macrovision / InstallShield InstallFromTheWeb
Links: VU#181041, CVE-2007-0321, R-159
ID: ae-200702-066

Bei InstallShield InstallFromTheWeb handelt es sich um ein Produkt zur webbasierten Installation von Software. Es steht als ActiveX Control für den Internet Explorer oder als Plug-In für andere Browser zur Verfügung. Das ActiveX Control ist in der Datei iftw.dll enthalten, das Plug-In in der Datei npiftw32.dll. InstallFromTheWeb wird von Macrovision nicht mehr supported, daher wird kein Patch erscheinen. Sinnvoll ist daher das Entfernen der Software oder das Ausschalten aktiver Inhalte.

System: Mandriva Linux
Topic: Sicherheitslücken im Kernel
Links: MDKSA-2007:047, CVE-2006-5701, CVE-2006-5823, CVE-2007-0006
ID: ae-200702-065

Im Linux Kernel 2.6 wurden einige Schwachstellen gefunden und behoben. Eine sog. Double Free Schwachstelle im Modul squashfs kann einem lokalen Benutzer ermöglichen, einen Denial-of-Service auszulöen, indem ein spezielles squashfs Dateisystem gemounted wird. Die Funktion zlib_inflate gestattet lokalen Benutzern einen Crash des Systems, indem ein Dateisystem, das die Komprimierung zlib nutzt, für Verwirrung im Speicher sorgt. Die im Kernel 2.6.9 bis 2.6.20 enthaltene Funktion key_alloc_serial bietet lokalen Benutzern die Möglichkeit, einen Absturz des Systems zu erreichen, indem Vektoren genutzt werden, die eine NULL Deferenzierung auslösen. Ein Update behebt die genannten Lücken und enthält weitere Verbesserungen.

System: Microsoft Windows
Topic: Probleme mit dem SupportSoft SmartIssue ActiveX Control
Links: iDEFENSE #478, CVE-2006-6490, VU#441785, SupportSoft, SYM07-002, ESB-2007.0128, R-161
ID: ae-200702-064

SupportSoft ActiveX control wird von einigen Herstellern wie z.B. Symantec eingesetzt. Es zeigt die Möglichkeit, über das Netzwerk einen Pufferüberlauf auszulösen und beliebigen Code mit den Rechten des betreffenden Benutzers auszuführen. Das betroffene ActiveX Control hat die ProgId von "SPRT.SmartIssue" bzw. die CLSID "01010e00-5e80-11d8-9e86-0007e96c65ae". Es ist als 'safe for scripting' markiert, damit es im Webbrowser genutzt werden kann. Beim Einsatz von Norton Internet Security 2006 ist der entsprechende Code für das Control in der Datei "C:\Program Files\Common Files\Symantec Shared\tgctlsi.dll" zu finden. Eine überarbeitete Version steht zur Verfügung.

System: Microsoft Windows
Topic: Schwachstelle im VeriSign ConfigChk ActiveX Control
Links: iDEFENSE #479, ESB-2007.0129, VU#308087, R-158
ID: ae-200702-063

Das ConfigChk ActiveX Control gehört zu VeriSign Inc.'s MPKI, Secure Messaging für Microsoft Exchange und Go Secure! Produkten. Es überwacht, dass der Microsoft Enhanced Cryptographic Provider Kryptographie mit 1024 Bit unterstützt. In VeriSign Inc.'s ConfigChk ActiveX Control besteht die Möglichkeit, über das Netzwerk einen Pufferüberlauf auszulösen. Hierdurch kann ein Angreifer beliebigen Code im Kontext des betroffenen Benutzers ausführen. Das betreffende ActiveX Control mit der CLSID 08F04139-8DFC-11D2-80E9-006008B066EE ist als 'safe for scripting' deklariert. Die Schwachstelle besteht bei der Verarbeitung langer Parameter, die an die Methode VerCompare() übergeben werden. Sofern einer der beiden Parameter länger als 28 Byte ist, passiert im Speicher ein Stack-Überlauf. Dieser ist also sehr einfach auszulösen. Versisign bietet eine überarbeitete Version der betreffenden .DLL-Datei, wodurch diese Schwachstelle geschlossen werden kann.

System: Verschiedene
Topic: Schwachstellen in IBM DB2 Universal Database
Links: iDEFENSE #480, iDEFENSE #481
ID: ae-200702-062

Aufgrund eines Fehlers beim Anlegen von Dateien bei der IBM Corp.'s DB2 Universal Database können lokale Angreifer die Rechte des Superusers erhalten. Die Schwachstelle ist durch unsicheren Dateizugang bei verschiedenen setuid-root Binaries begründet. Speziell wenn die Umgebungsvariable DB2INSTANCE gesetzt ist, nutzen die setuid-root Binaries zur Administration von DB2 das Homeverzeichnis des gesetzten Benutzers, um Konfigurationsdaten zu laden. Diese Schwachstelle wird in DB2 9 Fixpack 2 adressiert.
Außerdem bestehen weitere Schwachstellen, die sich von lokalen Benutzern ausnutzen lassen und einen Denial-of-Service oder die Ausführung von Code mit administrativen Rechten zu erreichen. Unischerer Zugriff auf Dateien mit setuid-root bietet lokalen Benutzern die Möglichkeit, beliebige Dateien als Root zu verändern oder auch anzulegen. Wenn Daten von einer Umgebungsvariable kopiert werden, kann ein Heap-Überlauf auftreten, da die Daten ohne weitere Prüfung in ein statisches BSS-Segment kopiert werden. Das kann bei einem späteren Funktionsaufruf zu dem Überlauf führen. Sofern eine Umgebungsvariable mit einem sehr langen String belegt ist, kann auch ein Stack-Überlauf auftreten. Hierdurch wird die Rücksprungadresse von einer Funktion überschrieben, was zum Ausführung beliebigen Codes führen kann. Diese Schwachstellen werden mit DB2 9 Fixpack 2 behoben.

System: Verschiedene
Topic: Schwachstelle in der Java 2 Platform
Links: Sun Alert #102686, CVE-2006-4339, ESB-2007.0127
ID: ae-200702-061

Das Java Runtime Environment und die Java Secure Socket Extension führt die Überprüfung von RSA PKCS #1 v1.5 Signaturen nicht korrekt durch, wenn der Exponent des RSA öffentlichen Schlüssels 3 ist. Hierdurch können Applets oder Applikationen mit gefälschten Signaturen unbeabsichtigt als echt erkannt werden. Ein Update steht zur Verfügung.

System: Red Hat Enterprise Linux 2.1
Topic: Schwachstelle in KOffice
Links: RHSA-2007-0010, CVE-2006-6120, R-152
ID: ae-200702-060

Bei KOffice handelt es sich um eine Sammlung von Applikationen für das K Desktop Environment (KDE) GUI. Im Dateiprozessor für PPT-Dateien wurde jetzt ein Integer-Überlauf gefunden. Hierdurch hat ein Angreifer die Möglichkeit, beliebigen Code auf dem betroffenen System auszuführen, wenn eine präparierte Datei geöffnet wird. Ein überarbeitetes Paket behebt dieses Problem.

System: Linux
Topic: Schwachstelle in spamassassin
Links: CVE-2007-0451, RHSA-2007-0074, ESB-2007.0126, MDKSA-2007:049
ID: ae-200702-059

Ein potenzieller Denial-of-Service wurde in 'spamassassin' gefunden. Eine speziell erstellte E-Mail im HTML-Format, welche URIs beinhaltet, kann zum Verbrauch von Ressourcen führen.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Cisco
Topic: Schwachstellen in Cisco Secure Services Client (CSSC)
Links: cisco-sa-20070221-supplicant, R-154, ESB-2007.0124
ID: ae-200702-058

Der Cisco Secure Services Client (CSSC) ist ein Software-Client für 802.1X Authentifizierung. Etliche Schwachstellen einschließlich Erweiterung von Privilegien und unnötiges Offenlegen von Informationen wurden gefunden.
Updates stehen nun zur Verfügung.

System: Cisco
Topic: Schwachstellen in Unified IP Conference Station und IP Phone
Links: cisco-sa-20070221-phone, R-153, ESB-2007.0125
ID: ae-200702-057

Für die Geräte Cisco Unified IP Conference Station 7935 und 7936 wird kein Passwort benötigt, wenn die vollständige URL beim Administrationsinterface benutzt wird.
Ein Workaround steht zur Verfügung

Einige Cisco Unified IP Phone Geräte beinhalten einen hartkodierten Standard-Benutzer mit einem Standard-Passwort. Damit kann über Secure Shell (SSH) auf das Gerät zugegriffen werden. Der Benutzer kann nicht deaktiviert oder gelöscht werden, auch ist kein Passwortwechsel möglich.
Updates stehen nun zur Verfügung.

System: Mandriva Linux
Topic: Schwachstellen in ekiga und gnucash
Links: MDKSA-2007:044, CVE-2007-1006,
MDKSA-2007:046, CVE-2007-0007
ID: ae-200702-056

In ekiga, ehemals GnomeMeeting, besteht die Möglichkeit zu einem Format String Fehler. Dieser passiert bei der Bearbeitung bestimmter Nachrichten und bietet Angreifern die Möglichkeit, über das Netzwerk eigenen Code mit den Rechten des Benutzers von ekiga auf einem anfälligen System ausführen zu lassen.
Gnucash 2.0.4 und früher erlaubt lokalen Benutzern über einen Symlink im temporären Verzeichnis beliebige Datein zu überschreiben. Hiervon betroffen sind gnucash.trace, qof.trace und qof.trace.[PID].
Überarbeitete Pakete beheben diese Probleme.

System: Turbolinux
Topic: Schwachstellen in Seamonkey
Links: TLSA-2007-7
ID: ae-200702-055

Seamonkey ist ein frei verfügbarer Webbrowser. Turbolinux weist darauf hin, dass hier verschiedene Schwachstellen gefunden wurden, die durch den Einsatz von Version 1.0.7-1 behoben sind.

System: SuSE Linux
Topic: SUSE Security Summary Report
Links: SuSE_Summary_2007_3, CVE-2006-5456, CVE-2006-5867, CVE-2006-5074, CVE-2007-0003, CVE-2007-0104, CVE-2007-0619, CVE-2007-0770,
SUSE-SA:2007:015
ID: ae-200702-054

Der aktuelle SuSE Summary Support points weist auf einige Schwachstellen hin, die sich jetzt schliessen lassen. Dabei handelt es sich um welche in chmlib, GraphicsMagick und ImageMagick, verschiedene PDF Viewer sowie in pam_unix login. Zusätzlich lässt sich eine Schwachstelle in AppArmor schließen.

System: Verschiedene
Topic: Schwachstelle in Trend Micro OfficeScan Web-Deployment und Server Protect
Links: TrendMicro-1034288, VU#784369, CVE-2007-0325, AA-2007.0009, R-149,
TrendMicro-1034290, VU#730433, VU#349393, VU#466609, VU#630025, CVE-2007-1070, ESB-2007.0123, iDEFENSE #477, R-156
ID: ae-200702-053

Das Trend Micro OfficeScan Web-Deployment SetupINICtrl ActiveX Control beinhaltet mehrere Pufferüberläufe, die ein entfernter Angreifer nutzen kann, um beliebigen Code auf einem anfälligen System auszuführen.
Schwachstellen wurden in Trend Micro Server Protect gefunden, die ebenso ein entfernter Angreifer nutzen kann, um beliebigen Code auf einem anfälligen System auszuführen.
Patches und ein Workaround stehen jetzt zur Verfügung.

System: Verschiedene
Topic: Schwachstelle in Snort DCE/RPC Präprocessor
Links: Snort-2007-02-19, CVE-2006-5276, XForce#257, R-146, VU#196240, AL-2007.0027
ID: ae-200702-052

Der DCE/RPC Präprocessor (standardmäßig aktiviert um SMB-Traffic zu erkennen) kann SMB 'Write AndX' Kommandos fehlerhaft zusammenfügen. Ein Angreifer kann diese Sicherheitslücke ausnutzen, um belibebigen Code mit den Rechten des Snort-Programms auszuführen.
Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Red Hat Enterprise Linux 3.x, 4.x
Topic: Schwachstellen in PHP und GnomeMeeting
Links: RHSA-2007-0076, CVE-2007-0906, CVE-2007-0907, CVE-2007-0908, CVE-2007-0909, CVE-2007-0910, CVE-2007-0988, ESB-2007.0120, AL-2007.0005, R-150,
RHSA-2007-0086, CVE-2007-1007, ESB-2007.0121, R-151
ID: ae-200702-051

Diverse erhebliche Sicherheitslöcher wurden wieder einmal in PHP gefunden. Ein Angreifer kann unter Umständen beliebigen Code als Benutzer 'apache' ausführen.
In GnomeMeeting wurde eine kritische Sicherheitslücke gefunden, die es entfernten Angreifern erlaubt, beliebigen Code unter den Privilegien des Benutzers auszuführen.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Verschiedene
Topic: Schwachstelle in Snort
Links: CVE-2006-6931, ESB-2007.0118, MDKSA-2007:051
ID: ae-200702-050

In Snort, einem Netzwerk Intrusion Detection System, wurde eine Sicherheitslücke im Rule Matching Algorithmus gefunden. Ein Angreifer über das Netzwerk kann durch einen "Backtracking Attack" Snort dazu bringen, zahlreiche zeitraubende Operationen duchzuführen. Eine fehlerbereinigte Softwareversion steht jetzt zur Verfügung.

System: Mac OS X
Topic: Apple Security Update 2007-002
Links: APPLE-SA-2007-02-15, CVE-2007-0197, CVE-2007-0614, CVE-2007-0710, CVE-2007-0021, CVE-2007-0023, ESB-2007.0112, VU#315856, R-148
ID: ae-200702-049

Diverse Sicherheitsprobleme in Finder, iChat und UserNotification werden mit dem jetzt verfügbaren Security Update 2007-002 behoben.

System: Linux
Topic: Schwachstelle in HP ServiceGuard for Linux
Links: HBSBGN02189, SSRT071297, ESB-2007.0114, R-142
ID: ae-200702-048

Im "HP ServiceGuard for Linux" wurde eine Sicherheitslücke gefunden, die einem Angreifer über das Netzwerk nicht autorisierten Zugang ermöglicht. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Schwachstellen in Clamav
Links: iDefense, iDefense, CVE-2007-0897, CVE-2007-0898, ESB-2007.0115, MDKSA-2007:043, SUSE-SA:2007:017, DSA-1263, ESB-2007.0146
ID: ae-200702-047

In ClamAV, einem GPL Antivirus Toolkit, wurden zwei Sicherheitslücken gefunden: Beim Scannen von CAB Archiven können Dateideskriptoren offen bleiben. Dies führt im Wiederholungsfall zu einem Denial-of-Service Zustand. Bei der Verarbeitung von MIME Nachrichten wurde ein Directory Traversal Fehler gefunden. Ein Angreifer kann mit bösartig konstruierten MIME Headern Dateien mit den Rechten des 'clamd' Prozesses anlegen oder überschreiben. Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Cisco
Topic: Schwachstellen in Cisco PIX, Cisco ASA und Cisco FWSM
Links: Cisco, Cisco, AL-2007.0023, ESB-2007.0104, R-144, R-147
ID: ae-200702-046

In den Cisco PIX 500 Series Security Appliances und Cisco ASA 5500 Series Adaptive Security Appliances wurden mehrere Sicherheitslücken gefunden, die die Untersuchung von HTTP Verkehr, SIP Paketen, TC PAketen und die Ausweitung von Berechtigungen betreffen. Einige dieser Sicherheitslücken berteffen auch das Cisco Firewall Services Module (FWSM). Cisco hat für betroffene Kunden ein frei verfügbares Update zur Verfügung gestellt.

System: Verschiedene
Topic: Schwachstellen in Adobe ColdFusion MX und Adobe JRun
Links: apsb07-03, CVE-2006-5859, ESB-2007.0109,
apsb07-04, CVE-2007-0817, ESB-2007.0110,
apsb07-05, CVE-2006-5860, ESB-2007.0111
ID: ae-200702-045

In Adobe ColdFusion MX wurden zwei Schwachstellen gefunden, durch die Cross-Site-Scripting Angriffe mit bösartig konstruierten URLs oder über die Standardfehlerseite möglich sind.
Auch in Adobe JRun wurde eine Cross-Site-Scripting Schwachstelle gefunden.
Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Sun Solaris
Topic: Schwachstelle in in.telnetd
Links: Sun Alert #102802, CVE-2007-0882 ESB-2007.0101, R-139, ISS Alert
ID: ae-200702-044

Eine Sicherheitslücke im in.telnetd(1M) Daemon ermöglicht Angreifern den Login über Telnet ohne Authentifizierung. Falls der Telnetzugang für den Benutzer Root erlaubt ist, kann der Angreifer auch Root Rechte erlangen. Ein Patch steht jetzt zur Verfügung.

System: Debian GNU/Linux
Topic: Schwachstellen in fetchmail und imagemagick
Links: DSA-1259, CVE-2006-5867, ESB-2007.0105,
DSA-1260, CVE-2007-0770, ESB-2007.0106
ID: ae-200702-043

In 'fetchmail', einem Programm zum Abholen und Weiterleiten von Emails, wurde eine Schwachstelle bei der Behandlung von verschlüsselten Verbindungen gefunden.
Der PALM Decoder von 'ImageMagick', einer Sammlung von Programmen zur Manipulation von Bildern, wurde eine Sicherheitslücke durch einen Pufferüberlauf gefundnen.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Cisco IOS
Topic: Schwachstellen in Cisco IOS IPS
Links: Cisco, ESB-2007.0099, R-140
ID: ae-200702-042

Im Intrusion Prevention System (IPS) Feature Set von Cisco IOS wurden zwei Sciherheitslücken gefunden: Angreifer können fragmentierte IP Pakete verwenden um die Erkennung durch das IPS zu umgehen. IPS Signaturen, die die regulären Ausdrücke (regular expression) der ATOMIC.TCP Signature Engine verwenden können den Router zum Absturz bringen. Cisco hat für betroffene Kunden ein frei verfügbares Update zur Verfügung gestellt.

System: Microsoft Windows
Topic: Sicherheitslücken in Microsoft Internet Explorer
Links: MS07-016, CVE-2006-4697, CVE-2007-0217, CVE-2007-0219, AL-2007.0022, R-138, ISS Alert
ID: ae-200702-041

Im Microsoft Internet Explorer wurden drei Sicherheitslücken gefunden. Ein Angreifer kann eine bösartige Webseite konstruieren, die über das Netzwerk beliebigen Code ausführt, wenn ein Benutzer sie besucht. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Microsoft Office
Links: MS07-015, CVE-2006-3877, CVE-2007-0671, AL-2007.0021, R-131
ID: ae-200702-040

In Microsoft Office wurden zwei Sicherheitslücken gefunden. Ein Angreifer kann bösartige PowerPoint oder Excel Dokumente konstruieren, die beliebigen Code ausführen, wenn sie geöffnet werden. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücken in Microsoft Word
Links: MS07-014, CVE-2006-5994, CVE-2006-6456, CVE-2006-6561, CVE-2007-0208, CVE-2007-0209, CVE-2007-0515, AL-2007.0020, R-132
ID: ae-200702-039

In Microsoft Word wurden sechs Sicherheitslücken gefunden. Ein Angreifer kann bösartige Word Dokumente konstruieren, die beliebigen Code ausführen, wenn sie geöffnet werden. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Microsoft RichEdit
Links: MS07-013, CVE-2006-1311, ESB-2007.0098, R-133
ID: ae-200702-038

In der RichEdit Komponente, die mit Microsoft Windows und Office mitgeliefert wird, existiert eine Sicherheitslücke, durch die ein bösartiges OLE Objekt, das in eine Rich Text Format (RTF) Datei einbettet ist, beliebigen Code ausführen kann. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows, Microsoft Visual Studio
Topic: Sicherheitslücke in Microsoft MFC
Links: MS07-012, CVE-2007-0025, ESB-2007.0097, R-134
ID: ae-200702-037

In der MFC Komponente, die mit Microsoft Windows und Visual Studio installiert wird, existiert eine Sicherheitslücke, durch die ein bösartiges OLE Objekt, das in eine Rich Text Format (RTF) Datei einbettet ist, beliebigen Code ausführen kann. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Microsoft OLE Dialog
Links: MS07-011, CVE-2007-0026, ESB-2007.0096, R-127
ID: ae-200702-036

Im OLE Dialog, der von Microsoft Windows zur Verfügung gestellt wird, wurde ein Fehler gefunden. Ein Angreifer kann ein bösartiges OLE Objekt in eine Rich Text Format (RTF) Datei einbetten, das beliebigen Code mit den Rechten des Opfers ausführt. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Windows Live OneCare, Microsoft Antigen, Microsoft Windows Defender und Microsoft Forefront Security
Links: MS07-010, CVE-2006-5270, AL-2007.0019, R-128, ISS Advisory
ID: ae-200702-035

Die Microsoft Malware Protection Engine weist eine Sicherheitslücke bei der Verarbeitung von Portable Document Format (PDF) Dateien auf. Ein Angreifer kann bösartige PDF Dateien konstruieren, durch die beliebiger Code ausgeführt wird, wenn die Microsoft Malware Protection Engine die Datei scannt. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Microsoft Data Access Components
Links: MS07-009, CVE-2006-5559, ESB-2007.0092, R-129
ID: ae-200702-034

In der Grammatiküberprüfung der Brasilianisch Portugiesischen Version von Microsoft Office 2003 (und den Multilingualen User Interfaces) wurde eine Sicherheitslücke gefunden, durch die ein bösartig konstruiertes Dokument beliebigen Code mit den Rechten des Benutzers ausführen, des es öffnet. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Microsoft HTML Help ActiveX Control
Links: MS07-008, CVE-2007-0214, AL-2007.0018, R-130
ID: ae-200702-033

Das HTML Help ActiveX Control weist eine Sicherheitslücke auf. Ein Angreifer kann eine bösartige Webseite konstruieren, die über das Netzwerk beliebigen Code ausführt, wenn ein Benutzer sie besucht. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows XP
Topic: Sicherheitslücke in Microsoft Windows Image Acquisition Service
Links: MS07-007, CVE-2007-0210, ESB-2007.0095, R-135
ID: ae-200702-032

In der Art und Weise wie der Window Image Acquisition Service Applikationen startet wurde eine Sicherheitslücke gefunden. Ein Angreifer mit einem gültigen Benutzerkonto kann das System komplett unter seine Kontrolle bringen. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows XP, 2003
Topic: Sicherheitslücke in Microsoft Windows Shell
Links: MS07-006, CVE-2007-0211, ESB-2007.0094, R-136
ID: ae-200702-031

In der Windows Shell wurde eine Sicherheitslücke bei der Erkennung und Registrierung neuer Hardware gefunden. Ein Angreifer mit einem gültigen Benutzerkonto kann das System komplett unter seine Kontrolle bringen. Ein Update steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Sicherheitslücke in Microsoft Step-by-Step Interactive Training
Links: MS07-005, CVE-2006-3448, ESB-2007.0093, R-137
ID: ae-200702-030

In Step-by-Step Interactive Training wurde ein Fehler bei der Behandlung von Bookmark Link Dateien gefunden. Ein Angreifer kann bösartige Dateien konstruieren, durch die beliebiger Code ausgeführt wird. Ein Update steht jetzt zur Verfügung.

System: Mandriva Linux
Topic: Schwachstelle in MIMEDefang
Links: Roaring Penguin, AL-2007.0016
ID: ae-200702-029

In 'MIMEDefang' wurde ein Pufferüberlauf gefunden, durch den ein Angreifer über das Netzwerk beliebigen Code mit den Rechten des Benutzers "defang" ausführen kann. Eine fehlerbereingte Softwareversion steht jetzt zur Verfügung.

System: Mandriva Linux
Topic: Schwachstellen in smb4k
Links: MDKSA-2007:042, CVE-2007-0472, CVE-2007-0473, CVE-2007-0474, CVE-2007-0475
ID: ae-200702-028

In 'smb4k' wurden mehrere Sicherheitslücke gefunden. Fehlerbereinigte Pakate stehen jetzt zur Verfügung.

System: Sun Solaris
Topic: Schwachstelle in rm
Links: Sun Alert #102782, CVE-2002-0435 ESB-2007.0091
ID: ae-200702-027

Im Kommando 'rm' wurde bereits im Jahr 2002 eine Sicherheitslücke bei den Optionen "-r" und "-R" zum rekursiven Löschen von Dateien und Verzeichnissen gefunden. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Schwachstelle in TWiki
Links: TWiki, CVE-2007-0669, OpenPKG-SA-2007.009
ID: ae-200702-026

Das in bis einschließlich Version 4.1.0 in TWiki enthaltene SessionPlugin zeigt eine Schwachstelle. Über diese können lokale Benutzer beliebigen Perl-Code mit den Rechten des Webserver-Prozesses ausführen. Hierzu werden über eine CGI-Session lokale Dateien angelegt. Ein Upgrade auf die aktuelle Version behebt dieses potenzielle Problem.

System: Verschiedene
Topic: Schwachstelle in ImageMagick
Links: CVE-2007-0770, MDKSA-2007:041, DSA-1260, ESB-2007.0106, RHSA-2007-0015, R-141, ESB-2007.0116
ID: ae-200702-025

Ein Pufferüberlauf in GraphicsMagick und ImageMagick gestattet Angreifern mit Hilfe von Benutzern einen Denial-of-Service zu erreichen. Ggf. ist auch die Ausführung von Code möglich. Der Grund liegt in der nicht ausreichenden Überprüfung von PALM-Grafiken durch die Funktion ReadPALMImage in coders/palm.c. Ein Update behebt dieses Problem.

System: Verschiedene
Topic: Schwachstelle in Sun Network Security Services (NSS)
Links: Sun Alert #102670, VU#594904
ID: ae-200702-024

Die beim Sun One Application Server und Sun Java System Webserver eingesetzten NSS-Bibliotheken zeigen eine nicht näher beschriebene Schwachstelle, durch die ein Angreifer einen Denial-of-Service auslösen kann. Zur Behebung dieses Problem hat Sun Microsystems entsprechende Patches herausgegeben.

System: Verschiedene
Topic: Schwachstellen in Trend Micro AntiVirus Scan Engine
Links: iDEFENSE #469, CVE-2007-0856, TrendMicro, VU#276432, VU#666800, VU#282240, R-125, R-126, ESB-2007.0082
ID: ae-200702-023

In der AntiVirus Scan Engine von Trend Micro wurde ein Pufferüberlauf gefunden, der es einem Angreifer über das Netzwerk ermöglicht, mit einer bösartig konstruierten UPX Datei beliebigen Code auf den betroffenen System auszuführen. Zusätzlich kann über eine Schwachstelle im Trend Micro Anti-Rootkit Common Module ein lokaler Benutzer erweiterte Rechte erhalten. Patches stehen jetzt zur Verfügung.

System: HP-UX, Sun Solaris
Topic: Schwachstelle in HP OpenView Storage Data Protector
Links: HPSBMA02190, SSRT071300, R-124, ESB-2007.0036
ID: ae-200702-022

Im HP OpenView Storage Data Protector auf HP-UX und Solaris Systemen wurde eine Sicherheitslücke gefunden, die es lokalen Angreifern ermöglicht beliebigen Code auszuführen. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücke in HP Mercury Produkten
Links: HPSBGN02187, SSRT061280, R-123, ESB-2007.0087
ID: ae-200702-021

In den HP Produkten Mercury LoadRunner Agent, Performance Center Agent und Monitor over Firewall wurde eine Sicherheitslücke gefunden, die es Angreifern über das Netzwerk ermöglicht, beliebigen Code auszuführen. Patches stehen jetzt zur Verfügung.

System: Turbolinux
Topic: Schwachstellen in fetchmail, xpdf, ImageMagick und AdobeReader
Links: TLSA-2007-3, CVE-2005-3088, CVE-2005-4348, CVE-2006-5867, TLSA-2007-4, CVE-2007-0104, TLSA-2007-5, CVE-2006-3743, CVE-2006-3744, CVE-2006-4144, CVE-2006-5456, CVE-2006-5868, TLSA-2007-6, CVE-2006-5857, CVE-2007-0045, CVE-2007-0046, CVE-2007-0047, CVE-2007-0048
ID: ae-200702-020

Turbolinux hat jetzt für bereits länger bekannte Schwachstellen in fetchmail, xpdf, ImageMagick und AdobeReader veröffentlicht. Es wird empfohlen, diese zu installieren.

System: IBM AIX
Topic: Schwachstelle in r-commands
Links: ESB-2007.0085
ID: ae-200702-019

In verschiedenen r-commands wurde ein Pufferüberlauf gefunden, der es lokalen Benutzern ermöglicht, Root Rechte zu erlangen. Betroffen sind 'rsh', 'rcp', 'rlogin' und 'rdist'. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücke in unrar
Links: iDefense, ESB-2007.0083
ID: ae-200702-018

Durch einen Pufferüberlauf des Stacks von RARLabs 'unrar' kann ein Angreifer mit bösartig konstruierten Archiven beliebigen Code ausführen. Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Red Hat Enterprise Linux
Topic: Sciherheitslücke in dbus
Links: RHSA-2007-0008, CVE-2006-6107, ESB-2007.0086
ID: ae-200702-017

Bei der Verarbeitung von Nachrichten durch D-BUS wurde eine Sicherheitslücke gefunden, durch die ein lokaler D-BUS Prozess andere D-BUS Prozesse daran hindern kann, Nachrichten zu empfangen. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Mandirva Linux
Topic: Probleme mit dem Kernel
Links: MDKSA-2007:040, CVE-2006-4814, CVE-2006-5749, CVE-2006-5753, CVE-2006-6053
ID: ae-200702-016

Im Kernel wurden verschiedene Schwachstellen gefunden. Ein Update steht zur Verfügung und sollte zeitnah installiert sein.

System: Mandriva Linux
Topic: Schwachstellen in gd, libwmf und php
Links: MDKSA-2007:035, MDKSA-2007:036, MDKSA-2007:038, CVE-2007-0455, CVE-2006-6383
ID: ae-200702-015

In der Funktiob 'gdImageStringFTEx' der GD Grafik-Bibliothek wurde ein Pufferüberlauf gefunden, der es Angreifern über das Netzwerk ermöglicht, Programme, die GD verwenden zum Absturz zu bringen oder beliebigen Code auszuführen. Die Pakete 'libwmf' und 'php' sind ebenfalls von dieser Sicherheitslücke betroffen. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücken in PostgreSQL
Links: CVE-2007-0555, CVE-2007-0556, ESB-2007.0079, MDKSA-2007:037, MDKSA-2007:037-1, RHSA-2007-0064, ESB-2007.0080, DSA-1261, ESB-2007.0113, TLSA-2007-10, Sun Alert #102825, ESB-2007.0138, R-167
ID: ae-200702-014

In PostgreSQL wurden mehrere Sicherhetislücken gefunden. PostgreSQL überprüft in einigen Fälle die Datentypen der Argumente von SQL Funktionen nicht richtig. Dadurch kann ein Benutzer den Datenbank Server zum Absturz bringen oder beliebige Speicherbereiche auslesen. Ferner überprüft der Query Planer nicht, ob ein bereits früher generierter Query Plan immer noch zur Tabelle kompatibel ist. Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Microsoft Windows
Topic: Schwachstelle in BlueCoat WinProxy
Links: IDefense, ESB-2007.0077
ID: ae-200702-013

In 'WinProxy' von Blue Coat Systems wurde eine Sicherheitslücke gefunden. Ein Angreifer kann durch Senden von überlangen HTTP CONNECT Anfragen an den HTTP Proxy Dienst von 'Winproxy' beliebigen Code ausführen. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücken in Samba
Links: Samba, Samba, Samba, CVE-2007-0452, CVE-2007-0453, CVE-2007-0454, VU#649732, ESB-2007.0075, R-122, DSA-1257, ESB-2007.0076, MDKSA-2007:034, RHSA-2007-0060, ESB-2007.0117, SuSE:2007_16
ID: ae-200702-012

In Samba, einer Implementierung des SMB/CIFS Protokolls, wurden mehrere Sicherheitslücken gefudnen. Falsche Handhabung von verzögerten File Open Aufrufen kann zu einer Endlosschleife führen. In der nss_winbind.so.1 auf Solaris wurde ein Pufferüberlauf gefunden, durch den beliebiger Code ausgeführt werden kann. Im VFS Plugin für das AFS ACL Mapping wurde ein Fromat String Fehler gefunden. Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Sun Solaris
Topic: Schwachstelle in Loopback FileSystem
Links: Sun Alert #102699, ESB-2007.0073
ID: ae-200702-011

Lokale Benutzer oder Prozesse mit Root-Rechten, die sich in einer nicht-globalen Zone befinden, können Dateien verschieben oder umbenennen, die sich auf einem Read-Only Loopback Filesystem befinden. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücke in Bugzilla
Links: ESB-2007.0072
ID: ae-200702-010

Wenn Bugzilla RSS Atom Feeds erstellt behandelt es Sonderzeichen in einigen Feldern nicht richtig. Dadurch ergibt sich die Möglichkeit zu Cross-Site-Scripting Angriffen. Fehlerbereinigte Software steht jetzt zur Verfügung.

System: Mandriva Linux
Topic: Schwachstelle in mpg123
Links: CVE-2007-0578, MDKSA-2007:032
ID: ae-200702-009

Die Funktion http_open in httpget.c in mpg123 vor Version 0.64 erlaubt Angreifern über das Netzwerk einen Denial-of-Service Angriff, indem durch ein vorzeitiges Schließen einer HTTP-Verbindung die Funktion in eine Endlosschleife geschickt wird. Ein überarbeitetes Paket behebt dieses Problem.

System: Mandriva Linux
Topic: Schwachstelle in kdelibs
Links: CVE-2007-0537, MDKSA-2007:031
ID: ae-200702-008

Konqueror 3.5.5 zeigt beim Parsen von HTML-Kommentaren in Titel-Tags. Hierdurch kann ein Angreifer einen Cross-Site Scripting Angriff (XSS) starten, wobei auch einige Schutzmechanismen gegen XSS-Angriffe umgangen werden können. Ein überarbeitetes Paket behebt dieses Problem.

System: Verschiedene
Topic: Sicherheitslücken in wireshark
Links: wnpa-sec-2007-01, CVE-2007-0456, CVE-2007-0457, CVE-2007-0458, CVE-2007-0459, ESB-2007.0074, MDKSA-2007:033
ID: ae-200702-007

Wireshark, ehemals Ethereal, zeigt in den Dissektoren für LLT, IEEE 801.11, HTTP und TCP Schwachstellen. Sie bestehen in allen Versionen vor 0.99.5, daher sollte nur noch die aktuelle Version zum Einsatz kommen.

System: Turbolinux
Topic: Sicherheitslücken im Kernel
Links: TLSA-2007-2, CVE-2006-0038, CVE-2006-0039
ID: ae-200702-006

Im Linux Kernel wurden mehrere Schwachstellen gefunden. Ein Update steht zur Verfügung und sollte zeitnah installiert sein.

System: Microsoft Windows
Topic: Schwachstelle in PGP Desktop
Links: VU#102465, R-119
ID: ae-200702-005

In 'PGP Desktop' wurde eine Sicherheitslücke gefunden, durch die ein authentifizierter Angreifer über das Netzwerk beliebigen Code auf dem betroffenen System ausführen kann. Ein Patch steht jetzt zur Verfügung.

System: Sun Solaris
Topic: Schwachstelle in ICMP
Links: Sun Alert #102697, VU#967236, ESB-2007.0071
ID: ae-200702-004

Eine Sicherheitslücke bei der Verarbeitung von ICMP Paketen in Solaris 10, ermöglicht es einem Angreifer über das Netzwerk eine System Panik auszulösen. Ein Patch steht jetzt zur Verfügung.

System: Cisco IOS
Topic: Schwachstelle in Cisco IOS
Links: Cisco, VU#438176, ESB-2007.0070, R-118
ID: ae-200702-003

Cisco Geräte, auf denen ein ISO mit Sprachunterstützung betrieben wird, die aber nicht für das Session Initiated Protocol (SIP) konfiguriert sind, können durch bösartige Pakete an Port 5060 zum Neustart gebracht werden. Cisco hat für betroffene Kunden ein frei verfügbares Update zur Verfügung gestellt.

System: Debian GNU/Linux
Topic: Schwachstelle in libgtop2
Links: DSA-1255, CVE-2007-0235, ESB-2007.0067, R-121
ID: ae-200702-002

In der Funktion 'glibtop_get_proc_map_s' von 'libgtop' wurde ein Pufferüberlauf auf den Stack gefunden, durch den ein lokaler Angreifer beliebigen Code ausführen kann. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Red Hat Enterprise Linux
Topic: Schwachstellen in fetchmail und squirrelmail
Links: RHSA-2007-0018, CVE-2005-4348, CVE-2006-5867, ESB-2007.0069
RHSA-2007-0022, CVE-2006-6142, ESB-2007.0068
ID: ae-200702-001

Wenn 'fetchmail' im Multidrop Modus betrieben wird, kann ein bösartiger Mailserver mit Emails ohne Headerzeilen 'fetchmail' zum Absturz bringen. Ferner stellt 'fetchmail' keine Konfigurationsoption zur Verfügung, mit der TLS verschlüsselte Verbindungen zu POP3 Servern erzwungen werden kann.
In 'Squirrelmail' wurden mehrere Cross-Site-Scripting Fehler gefunden, durch die ein Angreifer bösartigen Javascript Code in Webseiten einschleusen kann, die 'Squirrelmail' an seine Benutzer ausliefert.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.



(c) 2000-2014 AERAsec Network Services and Security GmbH