Meinberg Security Advisory: [MBGSA-2025.03] LANTIME-Firmware V7.08.023

Beschreibung der Sicherheitsschwachstellen

• Software von Drittherstellern:
  • OpenSSH:

    • CVE-2025-26465 - MITM when the VerifyHostKeyDNS option is enabled (mittel)
      https://access.redhat.com/security/cve/CVE-2025-26465
      
      CVE-2025-26466 - memory/CPU denial-of-service related to the handling of SSH2_MSG_PING (mittel)
      https://access.redhat.com/security/cve/CVE-2025-26466
      
      https://www.openssh.com/txt/release-9.9p2

      Bereinigt ab:
      V7.08.022 MBGID-22017

  • libxml2:

    • CVE-2025-24928 - stack-buffer-overflow in xmlSnprintfElements (hoch)
      https://access.redhat.com/security/cve/cve-2025-24928
      
      CVE-2024-56171 - use-after-free after xmlSchemaItemListAdd (hoch)
      https://access.redhat.com/security/cve/cve-2024-56171

      Bereinigt ab:
      V7.08.022 MBGID-22124

  • libexpat:

    • CVE-2024-8176 - libexpat can be forced to recurse indefinitely (mittel)
      https://github.com/libexpat/libexpat/blob/R_2_7_0/expat/Changes
      https://access.redhat.com/security/cve/CVE-2024-8176

      Bereinigt ab:
      V7.08.023 MBGID-23635

Betroffene Systeme

Die LANTIME-Firmware-Versionen vor 7.08.023 sind von den angezeigten Schwachstellen betroffen. Die LANTIME-Firmware wird von allen Geräten der LANTIME-M-Serie (M100, M150, M200, M250, M300, M320, M400, M450, M600, M900) sowie allen Geräten der LANTIME-IMS-Serie (M500, M1000, M1000S, M2000S, M3000, M3000S, M4000), der SyncFire-Produktfamilie (SF1000, SF1100, SF1200, SF1500) und LANTIME CPU-Erweiterungen (LCES) verwendet.

Ob und in welchem Maß einzelne Kunden bzw. LANTIME-Systeme angreifbar sind, hängt von der jeweiligen Konfiguration, der Netzwerkinfrastruktur und anderen Faktoren ab. Aus diesem Grund kann daher keine allgemeine Aussage über die tatsächliche Angreifbarkeit der eingesetzten Systeme gemacht werden.

Mögliche Sicherheitsmaßnahmen

Die jeweiligen Sicherheitsupdates sind in der LANTIME-Firmware-Version 7.08.023(-light) enthalten. Eine Aktualisierung auf diese Version behebt die jeweils gelisteten Sicherheitsschwachstellen.

Download der aktuellen LANTIME-Firmware unter:

• Meinberg-LANTIME-Firmware

Die Aktualisierung ist für Meinberg-Kunden ab sofort erhältlich. Es wird empfohlen, die LANTIME-Firmware auf die letzte Version 7.08.023 zu aktualisieren. Kunden die keine Möglichkeit haben die Version 7.08.023 zu installieren, können auf die 7.08.023-light zurückgreifen.

Weitere Informationen

Weitere Details und Informationen finden Sie auf der folgenden Webseite:

• LANTIME-Firmware-Changelog: LTOS 7.08

Bitte kontaktieren Sie Ihren Meinberg-Support, wenn Sie weitere Fragen haben oder Unterstützung benötigen.

Danksagung

Wir möchten uns vielmals bei allen bedanken, die uns auf Schwachstellen, andere Fehler oder Verbesserungen hinwiesen.

Vielen Dank!