Meinberg Security Advisory: [MBGSA-2022.04] Meinberg-LANTIME-Firmware V7.06.007 und V6.24.034

Die LANTIME-Firmware-Versionen 7.06.007 und 6.24.034 beinhalten Sicherheits-Updates der zlib-Bibliothek und des Programms rsync. Es wird empfohlen, eine Aktualisierung auf die Version 7.06.007 durchzuführen.

Einschätzung des Schweregrad bis einschließlich

• LANTIME-Firmware V7.06.006:
  Schweregrad kritisch (1), hoch (1), mittel (0), gering (0)
• LANTIME-Firmware V6.24.033:
  Schweregrad kritisch (1), hoch (1), mittel (0), gering (0)

Aktualisierte Versionen:

• LANTIME-Firmware: V7.06.007
• LANTIME-Firmware: V6.24.034

1. Beschreibung der Sicherheitsschwachstellen

   • Software von Drittherstellern:
     • rsync:
       • CVE-2022-29154 - Ungenügende Validierung von Dateinamen (hoch)

         https://download.samba.org/pub/rsync/NEWS#3.2.5l

         Bereinigt ab:
         V7.06.007 MBGID-11943 und V6.24.034 MBGID-9432

     • zlib:
       • CVE-2022-37434 - Heap-basierter buffer over-read oder buffer overflow (kritisch)

         https://github.com/madler/zlib/commit/eff308af425b67093bab25f80f1ae950166bece1

         Bereinigt ab:
         V7.06.007 MBGID-11929 und V6.24.034 MBGID-9431

2. Betroffene Systeme

   Die LANTIME-Firmware-Versionen vor V7.06.007 bzw. vor V6.24.034 sind von den Schwachstellen betroffen. Die LANTIME-Firmware wird von allen Geräten der LANTIME-M-Serie (M100, M200, M300, M400, M600, M900) sowie allen Geräten der LANTIME-IMS-Serie (M500, M1000, M1000S, M2000S, M3000, M3000S, M4000) und der SyncFire-Produktfamilie (SF1000 / SF1100 / SF1200) verwendet.

   Ob und in welchem Maß einzelne Kunden bzw. LANTIME-Systeme angreifbar sind, hängt von der jeweiligen Konfiguration, der Netzwerkinfrastruktur und anderen Faktoren ab. Aus diesem Grund kann daher keine allgemeine Aussage über die tatsächliche Angreifbarkeit der eingesetzten Systeme gemacht werden.

3. Mögliche Sicherheitsmaßnahmen

   Die jeweiligen Sicherheitsupdates sind in den LANTIME-Firmware-Versionen V7.06.007(-light) und V6.24.034 enthalten. Eine Aktualisierung auf diese Versionen behebt die jeweils gelisteten Sicherheitsschwachstellen.

   Download der neusten LANTIME-Firmware unter:

   • Meinberg-LANTIME-Firmware

   Alle Aktualisierungen sind für Meinberg-Kunden ab sofort erhältlich. Es wird empfohlen, die LANTIME-Firmware V7 auf die letzte Version 7.06.007 zu aktualisieren. Kunden die keine Möglichkeit haben die 7.06.007 zu installieren, können vorzugsweise auf die V7.06.007-light zurückgreifen.

4. Weitere Informationen

   Weitere Details und Informationen finden Sie in unseren LANTIME-Firmware-Changelogs:
   • V7.06.007 und V7.06.007-light
   • V6.24.034

   Bitte kontaktieren Sie Ihren Meinberg-Support, wenn Sie weitere Fragen haben oder Unterstützung benötigen.

5. Danksagung

   Wir möchten uns vielmals bei allen bedanken, die uns auf Schwachstellen, andere Fehler oder Verbesserungen hingewiesen haben.
   Vielen Dank!