Debians sikkerhedsbulletin

DSA-4218-1 memcached -- sikkerhedsopdatering

Rapporteret den:

6. jun 2018

Berørte pakker:

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 868701, Fejl 894404.
I Mitres CVE-ordbog: CVE-2017-9951, CVE-2018-1000115, CVE-2018-1000127.

Yderligere oplysninger:

Flere sårbarheder blev opdaget i memcached, et højtydende system til caching af objekter i hukommelsen. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

CVE-2017-9951
Daniel Shapira rapporterede om en heapbaseret bufferoverlæsning i memcached (på grund af en ufuldsætndig rettelse af CVE-2016-8705) udløst af særligt fremstillede forespørgsler til at tilføje/opsætte en nøgle, og gøre det muligt for en fjernangriber at forårsage et lammelsesangreb.
CVE-2018-1000115
Der blev rapporteret at memcached lytter til UDP som standard. En fjernangriber kunne drage nytte heraf til at anvende memcachedservicen som en DDoS-forstærker.

Defaultinstalleringer af memcached i Debian er ikke påvirket af denne fejl, da installeringsstandarden er kun at lytte til localhost. Denne opdatering deaktiverer som standard UDP-porten. Lytning til UDP kan genaktiveres i /etc/memcached.conf (jf. /usr/share/doc/memcached/NEWS.Debian.gz).
CVE-2018-1000127
Et heltalsoverløb blev rapporteret i memcached, medførende ressourcelækager, datakorruption, deadlocks eller nedbrud.

I den gamle stabile distribution (jessie), er disse problemer rettet i version 1.4.21-1.1+deb8u2.

I den stabile distribution (stretch), er disse problemer rettet i version 1.4.33-1+deb9u1.

Vi anbefaler at du opgraderer dine memcached-pakker.

For detaljeret sikkerhedsstatus vedrørende memcached, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/memcached