Meinberg Security Advisory: [MBGSA-2024.05] LANTIME-Firmware V7.08.015

Aktualisierte Version vom 29.08.2024

• LANTIME-Firmware-Version 7.08.014:
  Schweregrad kritisch (0), hoch (0), mittel (0), gering (0), info (3), unbekannt (0)

• LANTIME-Firmware: V7.08.015

1. Beschreibung der Sicherheitsschwachstellen

   • Software von Drittherstellern:
     Update vom 29.08.2024
     Entgegen der ersten Meldung ist das LTOS nicht von der Schwachstelle CVE-2024-6197 betroffen, da libcurl mit OpenSSL gebaut wurde und diese Konstellation laut dem Advisory von curl nicht betroffen ist. Gleiches gilt für die Schwachstelle CVE-2024-7264.
     
     Entgegen der ersten Meldung ist das LTOS nicht von der Schwachstelle CVE-2024-6874 betroffen, da libcurl nicht mit dem IDN backend von Apple gebaut wurde.
     • curl:

       • CVE-2024-6874 - macidn punycode buffer overread (info)
         CVE-2024-6197 - freeing stack buffer in utf8asn1str (info)
         CVE-2024-7264 - ASN.1 date parser overread (info)
         https://curl.se/docs/security.html

         Curl-Update: V7.08.015 MBGID-18568

2. Betroffene Systeme

   Die LANTIME-Firmware-Versionen vor 7.08.015 sind nicht von den angezeigten Schwachstellen betroffen. Die LANTIME-Firmware wird von allen Geräten der LANTIME-M-Serie (M100, M150, M200, M250, M300, M320, M400, M450, M600, M900) sowie allen Geräten der LANTIME-IMS-Serie (M500, M1000, M1000S, M2000S, M3000, M3000S, M4000), der SyncFire-Produktfamilie (SF1000, SF1100, SF1200, SF1500) und LANTIME CPU-Erweiterungen (LCES) verwendet.

   Ob und in welchem Maß einzelne Kunden bzw. LANTIME-Systeme angreifbar sind, hängt von der jeweiligen Konfiguration, der Netzwerkinfrastruktur und anderen Faktoren ab. Aus diesem Grund kann daher keine allgemeine Aussage über die tatsächliche Angreifbarkeit der eingesetzten Systeme gemacht werden.

3. Firmware-Update

   Die im Changelog gelisteten Bugs werden durch ein Update auf die LANTIME-Firmware-Version 7.08.015(-light) behoben.

   Download der aktuellen LANTIME-Firmware unter:
   

   • Meinberg-LANTIME-Firmware

   Die Aktualisierung ist für Meinberg-Kunden ab sofort erhältlich. Es wird empfohlen, die LANTIME-Firmware auf die letzte Version 7.08.015 zu aktualisieren. Kunden die keine Möglichkeit haben die Version 7.08.015 zu installieren, können auf die 7.08.015-light zurückgreifen.

4. Weitere Informationen

   Weitere Details und Informationen finden Sie auf der folgenden Webseite:

   • LANTIME-Firmware-Changelog: LTOS 7.08

   Bitte kontaktieren Sie Ihren Meinberg-Support, wenn Sie weitere Fragen haben oder Unterstützung benötigen.

5. Danksagung

   Wir möchten uns vielmals bei allen bedanken, die uns auf Schwachstellen, andere Fehler oder Verbesserungen hinwiesen.

   Vielen Dank!