[Postfixbuch-users] Lücke in PCRE-Bibliothek erlaubt Remote Code Execution

[Florian Kaiser]

> Unser Sicherheitsspezialist Markus Manzke von MARE Security hat uns
> heute morgen auf einen derzeit aktuellen Exploit in der PCRE-Bibliothek
> aufmerksam gemacht, der eine Remote Code Execution ermöglicht.

Vielen Dank für die Info in der Liste. Diese Lücke haben wohl viele übersehen,
da es kaum Publicity gab.

Was mich extrem stört ist, dass Distributionen für gravierende Lücken mit RCE
(die dazu noch ziemlich leicht fixbar sind) 4 Tage und mehr brauchen.  Debian,
Red Hat etc. sind seit mindestens 01.06 informiert und hatten inzwischen mehr
als genug Zeit, zu reagieren.

In letzter Zeit braucht es scheinbar immer erst eine Heise-Meldung (und
Reihenweise öffentliche PoCs bzw. Wild-Exploits), bis Ditributionen Fixes für
Sicherheitslücken wenigstens mittelfristig bereitstellen.

Ist ein echtes Ärgernis geworden.


Grüße
Florian

-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : signature.asc
Dateityp    : application/pgp-signature
Dateigröße  : 819 bytes
Beschreibung: OpenPGP digital signature
URL         : <https://listi.jpberlin.de/pipermail/postfixbuch-users/attachments/20150605/1d98329b/attachment.asc>