Debian (DSA) Seite 24

Für Axis Communications liegt laut den Security Advisories des Herstellers ein Eintrag zu dieser CVE-ID vor. Auch das curl-Projekt (Daniel Stenberg) führt diese CVE-ID in seinen Security-Übersichten (vuln.json, security.html); laut Zuordnung sind zudem Fedora, Debian (DSA), NetApp und Splunk (Cisco) mit dieser CVE-ID verknüpft. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl wurde die Schwachstelle CVE-2023-27536 gemeldet und im Sicherheitsadvisory des curl-Projekts dokumentiert. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Im Feed sind zusätzlich Axis, Fedora, Debian (DSA), NetApp und Splunk (Cisco) als betroffene Hersteller zugeordnet. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

In ARM mbed TLS (ehemals PolarSSL) 1.3.x vor 1.3.14 und 2.x vor 2.1.2 besteht ein heap-basierter Pufferüberlauf, über den entfernte SSL-Server einen Denial of Service (Absturz des Clients) verursachen und möglicherweise beliebigen Code ausführen können. Als betroffen ausgewiesen sind Debian (DSA), Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux, Fedora und SUSE/openSUSE. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren bzw. die Distributions-Updates einspielen.

Für CVE-2017-8890 liegt aus den Quelldaten keine detaillierte technische Beschreibung vor. Der Eintrag ist im Changelog von Securepoint UTM referenziert; die Zuordnung umfasst zudem ein Advisory von Debian (DSA). Ein CVSS-Basiswert ist in den Quelldaten nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

In der RubyGem excon vor Version 0.71.0 besteht laut NVD eine Race Condition im Umgang mit persistenten Verbindungen: Wird eine Verbindung unterbrochen, etwa durch ein Timeout, können Daten auf dem Socket zurückbleiben und nachfolgende Anfragen betreffen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

Für LibreOffice wird in der Sicherheitsübersicht der Document Foundation ein Eintrag zu dieser CVE-ID geführt. Auch Debian referenziert die Lücke in seinen Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für CVE-2020-14386 liegt bei Securepoint UTM ein Sicherheitshinweis vor; laut Zuordnung sind zudem Debian (DSA), Fedora und SUSE/openSUSE betroffen. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

httparty vor Version 0.21.0 ist anfällig für eine Assumed-Immutable-Web-Parameter-Schwachstelle. Ein nicht authentifizierter Angreifer aus der Ferne kann bei einem Multipart/Form-Data-Upload einen präparierten filename-Parameter übergeben. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Für Produkte von Securepoint, Fedora und Debian (DSA) wurde eine Sicherheitslücke (CVE-2022-42719) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Für curl ist unter dieser CVE-ID eine Sicherheitslücke dokumentiert, die sich laut den vorliegenden Quellen auch auf nachgelagerte Produkte von Axis, Fedora, Debian (DSA), NetApp und Splunk (Cisco) auswirkt. Eine detaillierte technische Beschreibung sowie ein CVSS-Basiswert liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Die Schwachstelle ist der curl-Bibliothek zugeordnet; laut den Quelldaten liegt keine detaillierte technische Beschreibung vor. Betroffen sind laut Zuordnung mehrere nachgelagerte Distributionen und Produkte, die curl integrieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

OpenVPN Inc. führt CVE-2023-46849 in seinen Sicherheitshinweisen für OpenVPN (Community + Access Server). Weitere Distributionen (u. a. Debian, Fedora) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

Dovecot (Open-Xchange) führt CVE-2019-7524 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem Pakete von Debian, Ubuntu, SUSE/openSUSE sowie Zabbly/Canonical (Incus/LXD). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

The Document Foundation führt CVE-2023-6185 in der Sicherheits-Übersicht zu LibreOffice auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Für LibreOffice wurde eine Sicherheitslücke (CVE-2024-3044) gemeldet, die auch Fedora und Debian betrifft. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Für LibreOffice (The Document Foundation) und weitere betroffene Produkte (Debian (DSA)) wurde eine Sicherheitslücke (CVE-2022-26306) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Für diese CVE liegt in den Quelldaten keine technische Detailbeschreibung vor; als Quelle ist die allgemeine Sicherheitsadvisory-Übersicht von Axis verzeichnet. Die Zuordnung umfasst zusätzlich Produkte von Fedora und Debian (DSA). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Zu CVE-2022-42720 verweisen die Quelldaten auf das Changelog der Securepoint UTM; laut Zuordnung sind zudem Fedora und Debian (DSA) betroffen. Eine technische Beschreibung der Schwachstelle liegt in den vorliegenden Quelldaten nicht vor, ebenso wenig ein CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Für Apache Guacamole wird in der Sicherheitsübersicht der Apache Software Foundation ein Eintrag zu dieser CVE-ID geführt. Weitere Distributionen (u. a. Fedora sowie Debian (DSA)) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Apache Guacamole ist laut dem Security-Advisory der Apache Software Foundation von einer weiteren Schwachstelle betroffen, die auch Fedora und Debian in eigenen Advisories (DSA) führen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Details zu betroffenen Versionen und Massnahmen sind der Advisory-Seite der Apache Software Foundation zu entnehmen.

Für LibreOffice wird in der Sicherheitsübersicht des Herstellers The Document Foundation ein Eintrag zu dieser CVE-ID geführt. Auch Debian (DSA) referenziert die Lücke in seinen Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

curl führt CVE-2024-8096 in den eigenen Sicherheitshinweisen auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

The Document Foundation weist in ihren Security-Advisories eine Schwachstelle in LibreOffice aus, die auch Debian in einem eigenen Advisory (DSA) führt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Details zu betroffenen Versionen und Massnahmen sind der LibreOffice-Sicherheitsseite zu entnehmen.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen mit wiederverwendbaren Komponenten. Laut Quelle besteht in Versionen ab 2.0.0, 5.0.0 und 6.0.0 vor 4.4.51, 5.4.31 und 6.3.8 eine Schwachstelle im Zusammenhang mit der Twig-Komponente. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Arm Mbed TLS vor 2.19.0 und Arm Mbed Crypto vor 2.0.0 verwenden bei aktiviertem deterministischem ECDSA einen Zufallszahlengenerator mit unzureichender Entropie für das Blinding. Dadurch könnte ein Angreifer unter Umständen einen privaten Schlüssel rekonstruieren. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Mbed TLS 2.19.0 bzw. Mbed Crypto 2.0.0 oder neuer aktualisieren, z. B. über die Distributions-Updates (Fedora, Debian, Amazon Linux, Oracle Linux, Rocky Linux).

Axis Communications führt CVE-2019-19221 in den Sicherheitshinweisen auf; betroffen sind laut Datenlage zudem Pakete von Debian, Fedora und Ubuntu sowie Zabbly/Canonical (Incus/LXD). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Für die Produkte Securepoint, Fedora und Debian (DSA) wurde eine Sicherheitslücke (CVE-2022-42721) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

CVE-2022-42722 wird im Changelog von Securepoint UTM geführt. Betroffen sind laut Quelldaten zudem Fedora und Debian (DSA). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für LibreOffice- und Debian-Produkte wurde eine Sicherheitslücke (CVE-2024-12426) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Für CVE-2017-12153 liegt aus den Quelldaten keine detaillierte technische Beschreibung vor. Der Eintrag ist im Changelog von Securepoint UTM referenziert; die Zuordnung umfasst zudem Advisories von Debian (DSA), Zabbly / Canonical (Incus/LXD) und Ubuntu (USN). Ein CVSS-Basiswert ist in den Quelldaten nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Linux-Kernel besteht vor Version 5.12-rc8 eine Race-Condition in der SCTP-Socket-Implementierung (net/sctp/socket.c). Ein Angreifer aus dem Kontext eines Netzwerkdienstes oder eines unprivilegierten Prozesses kann dadurch eine Rechteausweitung auf Kernel-Ebene erreichen. CVSS-Basiswert: 6.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Für Securepoint und weitere betroffene Produkte (Cisco Webex, Cisco, Splunk (Cisco), Zoho, Fedora, Debian (DSA)) wurde eine Sicherheitslücke (CVE-2022-20796) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Für CVE-2020-3702 liegt laut AVM ein Eintrag zu FRITZ!OS / FRITZ!Box vor; eine detaillierte Beschreibung der Schwachstelle ist in den übergebenen Quelldaten nicht enthalten. Zusätzlich als betroffen zugeordnet sind Qualcomm, Debian, Arista und Check Point. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für LibreOffice wurde eine Sicherheitslücke (CVE-2024-12425) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

The Document Foundation führt CVE-2023-0950 in den Sicherheitshinweisen für LibreOffice. Betroffen ist laut Quelldaten auch Debian (DSA). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

The Document Foundation führt CVE-2025-1080 in den Sicherheits-Advisories von LibreOffice; die Schwachstelle ist zudem über eine Debian Security Advisory (DSA) referenziert. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In PHP enthält die Implementierung des AES-WRAP-PAD-Algorithmus in der OpenSSL-Erweiterung einen Fehler bei der Pufferzuweisung. Betroffen sind die Versionen 8.2.* vor 8.2.32, 8.3.* vor 8.3.32, 8.4.* vor 8.4.23 und 8.5.* vor 8.5.8. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf die jeweils gepatchte PHP-Version.

Im Linux-Kernel wurde im MediaTek-vcodec-Treiber ein Resource Leak im Zusammenhang mit dem scp-Device während der Firmware-Initialisierung behoben, betroffen sind demnach MediaTek-Geräte mit entsprechender Systemkomponente. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Als betroffener Hersteller ist in den Quelldaten vermerkt: Debian (DSA).

Im venus-Mediatreiber des Linux-Kernels war die Interrupt-Behandlung während der Probe-Phase nicht ausreichend abgesichert, sodass verfrühte (spurious) Interrupts auftreten konnten, bevor der Interrupt-Handler vollständig initialisiert war. Die Schwachstelle wurde im Kernel behoben. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Arm Mbed TLS vor 2.16.6 und 2.7.x vor 2.7.15 kann ein Angreifer, der ausreichend präzise Seitenkanalmessungen durchführen kann, den langlebigen privaten ECDSA-Schlüssel wiederherstellen. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Mbed TLS 2.16.6 bzw. 2.7.15 oder neuer aktualisieren.

In ssh-agent von OpenSSH vor 9.6 können bestimmte Zielbeschränkungen (destination constraints) unvollständig angewendet werden. Werden diese Beschränkungen beim Hinzufügen PKCS#11-gehosteter privater Schlüssel angegeben, greifen sie nur teilweise. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf OpenSSH 9.6 oder neuer aktualisieren.

Im Linux-Kernel wurde eine Schwachstelle im x86-Speichermanagement behoben: ARCH_PAGE_TABLE_SYNC_MASK und arch_sync_kernel_mappings() wurden definiert, um die Synchronisation der Kernel-Seitentabellen sicherzustellen. Betroffen sind die Kernel-Pakete von Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux und Debian (DSA). CVSS-Basiswert: 5.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die bereitgestellten Kernel-Aktualisierungen der jeweiligen Distribution einspielen.

Im Linux-Kernel wurde in der Block-Schicht ein möglicher Überlauf bei der chunk_sectors-Prüfung in blk_stack_limits() vermieden. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die verfügbaren Kernel-Sicherheitsupdates der jeweiligen Distribution einspielen.

Im Linux-Kernel wurde eine Schwachstelle im VFS behoben: Es werden nun Zuweisungen der Dateideskriptor-Tabelle verhindert, die INT_MAX überschreiten, etwa wenn sysctl_nr_open auf einen sehr hohen Wert gesetzt ist. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die bereitgestellten Kernel-Updates der betroffenen Distributionen einspielen.

Im Linux-Kernel wurde eine Schwachstelle im Bridge-Subsystem behoben. Ein sehr grosser Wert für multicast_query_interval konnte einen Soft-Lockup in br_multicast_query_expired() auslösen. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die verfügbaren Kernel-Sicherheitsupdates der Distribution einspielen.

Im Linux-Kernel wurde eine Schwachstelle im jbd2-Journaling behoben: Ein Softlockup in jbd2_log_do_checkpoint() wird nun verhindert. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die von den Distributionen bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Massnahme gegen VMSCAPE ergänzt. VMSCAPE nutzt eine unzureichende Isolierung des Branch Predictors aus; als Gegenmassnahme wurde eine bedingte IBPB-Mitigation hinzugefügt. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die von den Distributionen (Amazon Linux, Oracle Linux, Rocky Linux, Debian) bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle im netfilter-Modul nf_reject behoben: Bei Loopback-Paketen wurde die dst-Referenzzählung nicht korrekt freigegeben. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die von den Distributionen bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde für x86/cpu/hygon ein fehlender Aufruf von resctrl_cpu_detect() im bsp_init-Helper ergänzt. Ohne diesen wurden LLC-Monitoring-Eigenschaften nicht korrekt erkannt. CVSS-Basiswert: 5.5 (Mittel). Empfohlene Massnahme: die verfügbaren Kernel-Sicherheitsupdates der jeweiligen Distribution einspielen.

Im Linux-Kernel wurde eine Schwachstelle im Page-Table-Dump behoben. In ptdump_walk_pgd() wird nun der Memory-Hotplug-Lock gehalten, da Memory Hot-Remove Kernel-Page-Tables abbaut und entfernt. CVSS-Basiswert: 4.7 (Mittel). Empfohlene Massnahme: die von den Distributionen (Amazon Linux, Oracle Linux, Rocky Linux, Debian) bereitgestellten Kernel-Updates einspielen.