Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
RedHat jBoss Operations Network <= 3.2.3 Betroffene Plattformen: RedHat jBoss Operations Network Mehrere Schwachstellen in dem jBoss Operations Network ermöglichen es einem zumeist entfernten, nicht authentifizierten Angreifer Sicherheitsvorkehrungen zu umgehen oder Informationen auszuspähen. Ein lokaler, nicht authentifizierter Angreifer kann beliebigen Programmcode auszuführen. Patch: Red Hat Security Advisory RHSA-2014-1904 https://rhn.redhat.com/errata/RHSA-2014-1904.html
CVE-2014-3577: Schwachstelle in Apache Commons HTTPClient
Eine Schwachstelle im Apache HttpComponents HttpClient besteht darin, dass
die Überprüfung des Hostnames anfällig für Man-in-the-Middle-Angriffe ist.
Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle
ausnutzen, um einen Benutzer des HTTPClients auf einen falschen und
potentiell schädlichen Host umzuleiten, wodurch weitere, nicht näher
spezifizierte Angriffe möglich werden.
CVE-2012-6153: Schwachstelle in Apache Commons HTTPClient
Eine Schwachstelle im Apache HttpComponents Client besteht darin, dass die
Überprüfung des Hostnames anfällig für Man-in-the-Middle-Angriffe ist. Ein
entfernter, nicht authentisierter Angreifer kann die Schwachstelle
ausnutzen, um einen Benutzer des HTTPClients auf einen falschen und
potentiell schädlichen Host umzuleiten, wodurch weitere, nicht näher
spezifizierte Angriffe möglich werden.
CVE-2014-3490: Schwachstelle in RESTEasy ermöglicht das Ausspähen von
Informationen
Durch die unvollständige Behebung der Schwachstelle CVE-2012-0818 werden
externe Parametereinträge nicht deaktiviert, wenn der
“resteasy.document.expand.entity.references” Parameter auf “false” gesetzt
ist. Ein entfernter, nicht authentifizierter Angreifer kann, durch das
Senden von XML-Anfragen zu einem RESTEasy-Endpunkt, Dateien, die dem
Benutzer des Anwendungsservers zugänglich sind, lesen oder möglicherweise
fortgeschrittene XML External Entities (XXE)-Angriffe durchführen.
CVE-2014-3481: Schwachstelle in RESTful Web Services (JAX-RS) legt Daten
offen
Die Java API für RESTful Web Services (JAX-RS) ermöglicht standardmäßig die
“External Entity Expansion”. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle nutzen, um beliebige Dateiinhalte
auszuspähen, von Dateien, auf die der Benutzer des Application Servers
Zugriff hat.
CVE-2014-0059: Schwachstelle in JBoss Enterprise Application Platform
Durch eine Schwachstelle in der Sicherheitsüberwachungsfunktionalität von
PicketBox und JBossSX werden sensible Informationen in der, für alle
lesbaren, “audit.log” aufgezeichnet.
CVE-2013-2035: Racecondition Schwachstelle in HawtJNI von JBoss WS
Durch eine Racecondition in HawtJNI Versionen vor 1.8 kann ein lokaler
Angreifer seine Privilegien erweitern und beliebigen Java Code ausführen.
Unter bestimmten Voraussetzungen schreibt die HawtJNI Library Class
zugehörige Native Libraries in das Verzeichnis /tmp/ mit einem
vorhersagbaren Dateinamen.
Dadurch kann ein lokaler Angreifer in dem Zeitfenster zwischen Schreiben und
Ausführen die Native Libraries überschreiben und mit eigenen, schädlichen
Versionen ersetzen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1572/
Schwachstelle CVE-2013-2035 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2035
Schwachstelle CVE-2014-0059 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0059
Schwachstelle CVE-2014-3481 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3481
Schwachstelle CVE-2014-3490 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3490
Schwachstelle CVE-2012-6153 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-6153
Schwachstelle CVE-2014-3577 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3577
Red Hat Security Advisory RHSA-2014-1904:
https://rhn.redhat.com/errata/RHSA-2014-1904.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
