Index: head/de_DE.ISO8859-1/books/handbook/security/chapter.xml =================================================================== --- head/de_DE.ISO8859-1/books/handbook/security/chapter.xml +++ head/de_DE.ISO8859-1/books/handbook/security/chapter.xml @@ -5,7 +5,7 @@ $FreeBSD$ $FreeBSDde: de-docproj/books/handbook/security/chapter.xml,v 1.178 2012/04/30 17:07:41 bcr Exp $ - basiert auf: r44302 + basiert auf: r44311 --> Sicherheit @@ -3402,177 +3402,280 @@ Wie sieht ein Sicherheitshinweis aus? - &os; Sicherheitshinweise haben das folgende Format: + Hier ist ein Beispiel für einen &os; + Sicherheitshinweis: ============================================================================= -FreeBSD-SA-XX:XX.UTIL Security Advisory +-----BEGIN PGP SIGNED MESSAGE----- +Hash: SHA512 + +============================================================================= +FreeBSD-SA-14:04.bind Security Advisory The FreeBSD Project -Topic: denial of service due to some problem +Topic: BIND remote denial of service vulnerability -Category: core -Module: sys -Announced: 2003-09-23 -Credits: Person -Affects: All releases of &os; - &os; 4-STABLE prior to the correction date -Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) - 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) - 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15) - 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8) - 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18) - 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) - 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) - 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) - 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) -CVE Name: CVE-XXXX-XXXX +Category: contrib +Module: bind +Announced: 2014-01-14 +Credits: ISC +Affects: FreeBSD 8.x and FreeBSD 9.x +Corrected: 2014-01-14 19:38:37 UTC (stable/9, 9.2-STABLE) + 2014-01-14 19:42:28 UTC (releng/9.2, 9.2-RELEASE-p3) + 2014-01-14 19:42:28 UTC (releng/9.1, 9.1-RELEASE-p10) + 2014-01-14 19:38:37 UTC (stable/8, 8.4-STABLE) + 2014-01-14 19:42:28 UTC (releng/8.4, 8.4-RELEASE-p7) + 2014-01-14 19:42:28 UTC (releng/8.3, 8.3-RELEASE-p14) +CVE Name: CVE-2014-0591 For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the -following sections, please visit -http://www.FreeBSD.org/security/. +following sections, please visit <URL:http://security.FreeBSD.org/>. + +I. Background + +BIND 9 is an implementation of the Domain Name System (DNS) protocols. +The named(8) daemon is an Internet Domain Name Server. + +II. Problem Description + +Because of a defect in handling queries for NSEC3-signed zones, BIND can +crash with an "INSIST" failure in name.c when processing queries possessing +certain properties. This issue only affects authoritative nameservers with +at least one NSEC3-signed zone. Recursive-only servers are not at risk. + +III. Impact + +An attacker who can send a specially crafted query could cause named(8) +to crash, resulting in a denial of service. + +IV. Workaround + +No workaround is available, but systems not running authoritative DNS service +with at least one NSEC3-signed zone using named(8) are not vulnerable. + +V. Solution + +Perform one of the following: + +1) Upgrade your vulnerable system to a supported FreeBSD stable or +release / security branch (releng) dated after the correction date. + +2) To update your vulnerable system via a source code patch: + +The following patches have been verified to apply to the applicable +FreeBSD release branches. + +a) Download the relevant patch from the location below, and verify the +detached PGP signature using your PGP utility. + +[FreeBSD 8.3, 8.4, 9.1, 9.2-RELEASE and 8.4-STABLE] +# fetch http://security.FreeBSD.org/patches/SA-14:04/bind-release.patch +# fetch http://security.FreeBSD.org/patches/SA-14:04/bind-release.patch.asc +# gpg --verify bind-release.patch.asc -I. Background +[FreeBSD 9.2-STABLE] +# fetch http://security.FreeBSD.org/patches/SA-14:04/bind-stable-9.patch +# fetch http://security.FreeBSD.org/patches/SA-14:04/bind-stable-9.patch.asc +# gpg --verify bind-stable-9.patch.asc +b) Execute the following commands as root: -II. Problem Description +# cd /usr/src +# patch < /path/to/patch +Recompile the operating system using buildworld and installworld as +described in <URL:http://www.FreeBSD.org/handbook/makeworld.html>. -III. Impact +Restart the applicable daemons, or reboot the system. +3) To update your vulnerable system via a binary patch: -IV. Workaround +Systems running a RELEASE version of FreeBSD on the i386 or amd64 +platforms can be updated via the freebsd-update(8) utility: +# freebsd-update fetch +# freebsd-update install -V. Solution +VI. Correction details +The following list contains the correction revision numbers for each +affected branch. -VI. Correction details +Branch/path Revision +- ------------------------------------------------------------------------- +stable/8/ r260646 +releng/8.3/ r260647 +releng/8.4/ r260647 +stable/9/ r260646 +releng/9.1/ r260647 +releng/9.2/ r260647 +- ------------------------------------------------------------------------- +To see which files were modified by a particular revision, run the +following command, replacing NNNNNN with the revision number, on a +machine with Subversion installed: -VII. References +# svn diff -cNNNNNN --summarize svn://svn.freebsd.org/base +Or visit the following URL, replacing NNNNNN with the revision number: - - +<URL:http://svnweb.freebsd.org/base?view=revision&revision=NNNNNN> + +VII. References + +<URL:https://kb.isc.org/article/AA-01078> + +<URL:http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0591> + +The latest revision of this advisory is available at +<URL:http://security.FreeBSD.org/advisories/FreeBSD-SA-14:04.bind.asc> +-----BEGIN PGP SIGNATURE----- + +iQIcBAEBCgAGBQJS1ZTYAAoJEO1n7NZdz2rnOvQP/2/68/s9Cu35PmqNtSZVVxVG +ZSQP5EGWx/lramNf9566iKxOrLRMq/h3XWcC4goVd+gZFrvITJSVOWSa7ntDQ7TO +XcinfRZ/iyiJbs/Rg2wLHc/t5oVSyeouyccqODYFbOwOlk35JjOTMUG1YcX+Zasg +ax8RV+7Zt1QSBkMlOz/myBLXUjlTZ3Xg2FXVsfFQW5/g2CjuHpRSFx1bVNX6ysoG +9DT58EQcYxIS8WfkHRbbXKh9I1nSfZ7/Hky/kTafRdRMrjAgbqFgHkYTYsBZeav5 +fYWKGQRJulYfeZQ90yMTvlpF42DjCC3uJYamJnwDIu8OhS1WRBI8fQfr9DRzmRua +OK3BK9hUiScDZOJB6OqeVzUTfe7MAA4/UwrDtTYQ+PqAenv1PK8DZqwXyxA9ThHb +zKO3OwuKOVHJnKvpOcr+eNwo7jbnHlis0oBksj/mrq2P9m2ueF9gzCiq5Ri5Syag +Wssb1HUoMGwqU0roS8+pRpNC8YgsWpsttvUWSZ8u6Vj/FLeHpiV3mYXPVMaKRhVm +067BA2uj4Th1JKtGleox+Em0R7OFbCc/9aWC67wiqI6KRyit9pYiF3npph+7D5Eq +7zPsUdDd+qc+UTiLp3liCRp5w6484wWdhZO6wRtmUgxGjNkxFoNnX8CitzF8AaqO +UWWemqWuz3lAZuORQ9KX +=OQzQ +-----END PGP SIGNATURE----- + + Jeder Sicherheitshinweis verwendet das folgende + Format: + + + + Jeder Sicherheitshinweis wird mit dem + PGP-Schlüssel des + Sicherheitsbeauftragten unterzeichnet. Der öffentliche + Schlüssel des Sicherheitsbeauftragten kann in überprüft werden. + + + + Der Name des Sicherheitshinweises beginnt immer mit + FreeBSD-SA- (für FreeBSD Security + Advisory), gefolgt vom Jahr im zweistelligen Format + (14:), gefolgt von der Anzahl von + Sicherheitshinweisen für dieses Jahr + (04.), gefolgt vom Namen der Anwendung + oder des betroffenen Subsystems (bind). + Der hier gezeigte Sicherheitshinweis ist der vierte + Hinweis für das Jahr 2014 und betrifft die Anwendung + BIND. + + + Das Feld Topic enthält eine - Beschreibung des Sicherheitsproblems und benennt das - betroffene Programm. - + Beschreibung der Schwachstelle. + - + Das Feld Category beschreibt den - betroffenen Systemteil. Mögliche Werte für dieses - Feld sind core, contrib + betroffenen Systemteil. Mögliche Werte für dieses Feld + sind core, contrib oder ports. Die Kategorie - core gilt für Kernkomponenten - des &os;-Betriebssystems, die Kategorie + core gilt für Komponenten des + &os;-Betriebssystems, die Kategorie contrib beschreibt zum Basissystem - gehörende Software Dritter beispielsweise - Sendmail. Die Kategorie - ports beschreibt Software, die - Teil der Ports-Sammlung ist. - + gehörende Software Dritter, beispielsweise + BIND. Die Kategorie + ports beschreibt Software, die Teil + der Ports-Sammlung ist. + - + Das Feld Module beschreibt die - betroffene Komponente. Im Beispiel ist - sys angegeben, das heißt - dieses Problem betrifft eine Komponente, die vom - Kernel benutzt wird. - + betroffene Komponente. Im diesem Beispiel ist das + bind-Modul betroffen, dass heißt + dieses Problem betrifft eine Anwendung aus dem + Betriebssystem. + - + Das Feld Announced gibt den Zeitpunkt der Bekanntgabe des Sicherheitshinweises - an. Damit existiert das Sicherheitsproblem, - ist vom Sicherheits-Team bestätigt worden - und eine entsprechende Korrektur wurde in das - Quellcode-Repository von &os; gestellt. - + an. Das bedeutet, dass das Sicherheitsteam das Problem + bestätigt hat und das eine entsprechende Korrektur bereits + im &os; Quellcode-Repository zur Verfügung steht . + - + Das Feld Credits gibt die Person oder Organisation an, die das Sicherheitsproblem - bemerkte und gemeldet hat. - + bemerkt und gemeldet hat. + - - Welche &os;-Releases betroffen sind, ist im Feld - Affects angegeben. Die Version einer - Datei, die zum Kernel gehört, können Sie - schnell mit &man.ident.1; ermitteln. Bei Ports - ist die Versionsnummer angegeben, die Sie im Verzeichnis - /var/db/pkg finden. - Wenn Sie Ihr System nicht täglich aktualisieren, - ist Ihr System wahrscheinlich betroffen. - - - - Wann das Problem in welchem Release behoben wurde, - steht im Feld Corrected. - + + Das Feld Affects listet die + &os;-Releases auf, die von dem Problem betroffen + sind. + + + + Das Feld Corrected zeigt an, + wann das Problem in welchem Release behoben wurde. + - + Reserviert für Informationen, über die - in der Common - Vulnerabilities Database nach Sicherheitslücken + auf + cve.mitre.org nach Sicherheitslücken gesucht werden kann. - + - + Im Feld Background wird - das betroffene Werkzeug beschrieben. Meist finden Sie - hier warum das Werkzeug Bestandteil von &os; ist, - wofür es benutzt wird und eine kurze - Darstellung der Herkunft des Werkzeugs. - - - - Im Feld Problem Description befindet - sich eine genaue Darstellung des Sicherheitsproblems. - Hier wird fehlerhafter Code beschrieben oder geschildert, - wie ein Werkzeug ausgenutzt wird. - + das betroffene Modul beschrieben. + + + + Im Feld Problem Description wird + das Sicherheitsproblem beschrieben. Hier wird + fehlerhafter Code beschrieben oder geschildert, + wie ein Werkzeug ausgenutzt werden könnte. + - + Das Feld Impact beschreibt die - Auswirkungen des Sicherheitsproblems auf ein System, - beispielsweise erweiterte Rechte oder gar - Superuser-Rechte für normale Benutzer. - + Auswirkungen des Sicherheitsproblems auf ein + System. + - + Im Feld Workaround wird eine Umgehung des Sicherheitsproblems beschrieben. Die Umgehung ist für Administratoren gedacht, - die ihr System aus Zeitnot, Netzwerk-technischen oder - anderen Gründen nicht aktualisieren können. - Nehmen Sie Sicherheitsprobleme ernst: Auf einem - betroffenen System sollte das Problem entweder behoben - oder, wie hier beschrieben, umgangen werden. - + die das System aus Zeitnot, Netzwerk-technischen oder + anderen Gründen nicht aktualisieren können. + - - Im Feld Solution enthält eine + + Das Feld Solution enthält eine getestete Schritt-für-Schritt Anleitung, die das Sicherheitsproblem behebt. - + - + Das Feld Correction Details enthält die Subversion-Tags der betroffenen Dateien zusammen mit zugehörigen - Revisionsnummern. - + Revisionsnummern, in denen das Problem behoben + wurde. + - + Im Feld References finden sich - Verweise auf weitere Informationsquellen. Dies können - URLs zu Webseiten, Bücher, Mailinglisten und Newsgroups - sein. - - + Verweise auf weitere Informationsquellen. + +