Meinberg Security Advisory: [MBGSA-2023.04] LANTIME-Firmware V7.08.002

Beschreibung der Sicherheitsschwachstellen

• Software von Drittherstellern:
  • OpenSSL:
    • CVE-2023-2650 - Possible DoS translating ASN.1 object identifiers (gering)

      https://www.openssl.org/news/secadv/20230530.txt

      Bereinigt ab:
      V7.08.002 MBGID-14187

  • ncurses:
    • CVE-2023-29491 - Memory corruption via malformed data in a terminfo database (hoch)

      https://ncurses.scripts.mit.edu/?p=ncurses.git;a=commit;h=eb51b1ea1f75a0ec17c9c5937cb28df1e8eeec56

      Bereinigt ab:
      V7.08.002 MBGID-14155

  • curl:
    • CVE-2023-28322 - more POST-after-PUT confusion (gering)
      CVE-2023-28321 - IDN wildcard match (gering)
      CVE-2023-28320 - siglongjmp race condition (gering)
      CVE-2023-28319 - UAF in SSH sha256 fingerprint check (mittel)

      https://curl.se/docs/security.html

      Bereinigt ab:
      V7.08.002 MBGID-14167

  • libssh:
    • CVE-2023-1667 - Potential NULL dereference during rekeying with algorithm guessing (mittel)
      https://www.libssh.org/security/advisories/CVE-2023-1667.txt
      
      CVE-2023-2283 - Authorization bypass in pki_verify_data_signaturee (mittel)
      https://www.libssh.org/security/advisories/CVE-2023-2283.txt
      
      

      Bereinigt ab:
      V7.08.002 MBGID-14310

  • GnuTLS:
    • CVE-2023-0361 - Timing sidechannel in RSA decryption (mittel)

      https://www.gnutls.org/security-new.html#GNUTLS-SA-2020-07-14

      Bereinigt ab:
      V7.08.002 MBGID-14364

• Web-Interface und System:
  • NOCVE - JavaScript Code Injection / XSS in Log File (gering)

    Super-User konnten JavaScript-Code in die Log-Datei „lantime_messages“ einbetten, welcher über das Web-Interface ausgeliefert würde.

    Bereinigt ab:
    V7.08.002 MBGID-14449

  • NOCVE - Signatur Bypass (hoch)

    Die Signaturprüfung von hochgeladenen Firmware-Image-Dateien konnte umgangen werden, weil die Prüfung zu spät erfolgte. Die Prüfung der Dateisignatur erfolgt nun so früh wie möglich.

    Bereinigt ab:
    V7.08.002 MBGID-14459

  • NOCVE - Persisted hidden user can be created (gering)

    Benutzer mit einem Namen aus den Teilen von Systembenutzernamen wurden in dem Web-Interface nicht angezeigt.

    Bereinigt ab:
    V7.08.002 MBGID-14448

Betroffene Systeme

Die LANTIME-Firmware-Versionen vor V7.08.002 sind von den Schwachstellen betroffen. Die LANTIME-Firmware wird von allen Geräten der LANTIME-M-Serie (M100, M150, M200, M250, M300, M320, M400, M450, M600, M900) sowie allen Geräten der LANTIME-IMS-Serie (M500, M1000, M1000S, M2000S, M3000, M3000S, M4000) und der SyncFire-Produktfamilie (SF1000, SF1100, SF1200, SF1500) verwendet.

Ob und in welchem Maß einzelne Kunden bzw. LANTIME-Systeme angreifbar sind, hängt von der jeweiligen Konfiguration, der Netzwerkinfrastruktur und anderen Faktoren ab. Aus diesem Grund kann daher keine allgemeine Aussage über die tatsächliche Angreifbarkeit der eingesetzten Systeme gemacht werden.

Mögliche Sicherheitsmaßnahmen

Die jeweiligen Sicherheitsupdates sind in der LANTIME-Firmware-Version V7.08.002(-light) enthalten. Eine Aktualisierung auf diese Version behebt die jeweils gelisteten Sicherheitsschwachstellen.

Download der neusten LANTIME-Firmware unter:

• Meinberg-LANTIME-Firmware

Die Aktualisierung ist für Meinberg-Kunden ab sofort erhältlich. Es wird empfohlen, die LANTIME-Firmware auf die letzte Version V7.08.002 zu aktualisieren. Kunden die keine Möglichkeit haben die V7.08.002 zu installieren, können auf die V7.08.002-light zurückgreifen.

Weitere Informationen

Weitere Details und Informationen finden Sie auf der folgenden Webseite:

• LANTIME-Firmware-Changelog: V7.08

Bitte kontaktieren Sie Ihren Meinberg-Support, wenn Sie weitere Fragen haben oder Unterstützung benötigen.

Danksagung

Wir möchten uns vielmals bei allen bedanken, die uns auf Schwachstellen, andere Fehler oder Verbesserungen hinwiesen.

Vielen Dank!