Meinberg Security Advisory: [MBGSA-2024.08] LANTIME-Firmware V7.08.018

Beschreibung der Sicherheitsschwachstellen

• Software von Drittherstellern:
  • curl:

    • CVE-2024-9681 - HSTS subdomain overwrites parent cache entry (gering)
      Weitere Informationen:
      https://curl.se/docs/CVE-2024-9681.html

      Bereinigt ab:
      V7.08.018 MBGID-20006

  • libexpat:

    • CVE-2024-50602 - Stop XML_ResumeParser from crashing (mittel)
      Weitere Informationen:
      https://github.com/libexpat/libexpat/pull/915
      https://bugzilla.redhat.com/show_bug.cgi?id=2321987

      Bereinigt ab:
      V7.08.018 MBGID-19956

  • nano:

    • CVE-2024-5742 - Running chmod and chown on the filename allows malicious user to replace the emergency file (gering)
      Weitere Informationen:
      https://access.redhat.com/security/cve/CVE-2024-5742

      Bereinigt ab:
      V7.08.018 MBGID-19966

  • wpa_supplicant:

    • CVE-2023-52160 - PEAP in wpa_supplicant allows authentication bypass (mittel)
      Weitere Informationen:
      https://lists.debian.org/debian-lts-announce/2024/02/msg00013.html
      https://nvd.nist.gov/vuln/detail/CVE-2023-52160

      Bereinigt ab:
      V7.08.018 MBGID-19967

• Betroffene Systeme

  Die LANTIME-Firmware-Versionen vor 7.08.018 sind von den angezeigten Schwachstellen betroffen. Die LANTIME-Firmware wird von allen Geräten der LANTIME-M-Serie (M100, M150, M200, M250, M300, M320, M400, M450, M600, M900) sowie allen Geräten der LANTIME-IMS-Serie (M500, M1000, M1000S, M2000S, M3000, M3000S, M4000), der SyncFire-Produktfamilie (SF1000, SF1100, SF1200, SF1500) und LANTIME CPU-Erweiterungen (LCES) verwendet.

  Ob und in welchem Maß einzelne Kunden bzw. LANTIME-Systeme angreifbar sind, hängt von der jeweiligen Konfiguration, der Netzwerkinfrastruktur und anderen Faktoren ab. Aus diesem Grund kann daher keine allgemeine Aussage über die tatsächliche Angreifbarkeit der eingesetzten Systeme gemacht werden.

• Mögliche Sicherheitsmaßnahmen

  Die jeweiligen Sicherheitsupdates sind in der LANTIME-Firmware-Version 7.08.018(-light) enthalten. Eine Aktualisierung auf diese Version behebt die jeweils gelisteten Sicherheitsschwachstellen.

  Download der aktuellen LANTIME-Firmware unter:
  

  • Meinberg-LANTIME-Firmware

  Die Aktualisierung ist für Meinberg-Kunden ab sofort erhältlich. Es wird empfohlen, die LANTIME-Firmware auf die letzte Version 7.08.018 zu aktualisieren. Kunden, die keine Möglichkeit haben, die Version 7.08.018 zu installieren, können auf die 7.08.018-light zurückgreifen.

• Weitere Informationen

  Weitere Details und Informationen finden Sie auf der folgenden Webseite:

  • LANTIME-Firmware-Changelog: LTOS 7.08

  Bitte kontaktieren Sie Ihren Meinberg-Support, wenn Sie weitere Fragen haben oder Unterstützung benötigen.

• Danksagung

  Wir möchten uns vielmals bei allen bedanken, die uns auf Schwachstellen, andere Fehler oder Verbesserungen hinwiesen.

  Vielen Dank!