Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
RedHat JBoss Fuse Service Works <= 6.0 Betroffene Plattformen: RedHat JBoss Fuse Mehrere Schwachstellen in RedHat JBoss Fuse Service Works ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausspähen von Informationen, das Umgehen von Sicherheitsvorkehrungen und die Ausführung beliebigen Programmcodes. Der Hersteller Red Hat bietet einen Rollup Patch 3 für die Version 6.0.0 an. Patch: Red Hat Security Advisory RHSA-2014:1995 http://rhn.redhat.com/errata/RHSA-2014-1995.html
CVE-2014-0093: JBoss Enterprise Application Platform: JSM Policy wird nicht
berücksichtigt
Eine Schwachstelle in JBoss Enterprise Application Platform besteht darin,
dass die Java Security Manager Policy von den auf der JBoss EAP 6 laufenden
Applikationen nicht respektiert wird. Dies ermöglicht einem entfernten,
nicht authentisierten Angreifer unter Umgehung der JSM Policy beliebige
Anwendungen zur Ausführung zu bringen.
CVE-2014-0107: Schwachstelle in Xalan-Java
Es besteht eine Schwachstelle im “FEATURE_SECURE_PROCESSING” der
“TransformerFactory” innerhalb der Ausgabeeinstellungen. Ein entfernter,
nicht authentifizierter Angreifer kann durch die Angabe einer externen
Referenz beliebigen Programmcode zur Ausführung bringen.
CVE-2014-0058: Schwachstelle in JBoss Enterprise Application Platform
Das Security Audit der Red Hat JBoss Enterprise Application Platform
protokolliert Anfrageparameter im Klartext. In den Protokolldateien zum
Audit werden Passworte gespeichert, wenn die BASIC oder FORM-basierte
Authentifizierung benutzt wird. Ein lokaler Angreifer mit Zugriffsrechten
auf die Protokolldateien kann diese Schwachstelle ausnutzen, um Anwendungs-
oder Server-Credentials zu erhalten.
CVE-2014-0018: Schwachstelle in jboss-as-server erlaubt ungeprüften Zugang
zu MSC Service Registry unter JSM
Eine Schwachstelle wurde in Red Hat JBoss Enterprise Application Platform
gefunden, für den Fall dass diese unter einem Security Manager läuft. Diese
Schwachstelle erlaubt einem lokalen, nicht authentisierten Angreifer
Programmcode mit Zugriff auf die Modular Service Container (MSC) Service
Registry auszuführen, ohne dass dabei eine Überprüfung der Berechtigung
stattfindet. Unter Ausnutzung dieser Schwachstelle kann somit schädlicher
Programmcode zur Ausführung gebracht werden, der zum Beispiel den internen
Zustand des Servers in vielfältiger Weise verändern kann.
CVE-2013-6440: Schwachstelle in XMLTooling-J/OpenSAML Java erlaubt XML
eXternal Entity (XXE)-Angriffe
Eine Schwachstelle im XMLTooling-J besteht darin, dass die ParserPool- und
Decrypter-Klassen in der OpenSAML Java-Implementierung auch den Zugriff von
extern gestatten und infolgedessen XML eXternal Entitiy (XXE)-Angriffe
erlauben. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, um Dateien des Benutzers, unter dem der
Application-Server läuft, zu lesen und möglicherweise weiterführende
XXE-Angriffe durchzuführen.
CVE-2013-2035: Racecondition Schwachstelle in HawtJNI von JBoss WS
Durch eine Racecondition in HawtJNI Versionen vor 1.8 kann ein lokaler
Angreifer seine Privilegien erweitern und beliebigen Java Code ausführen.
Unter bestimmten Voraussetzungen schreibt die HawtJNI Library Class
zugehörige Native Libraries in das Verzeichnis /tmp/ mit einem
vorhersagbaren Dateinamen.
Dadurch kann ein lokaler Angreifer in dem Zeitfenster zwischen Schreiben und
Ausführen die Native Libraries überschreiben und mit eigenen, schädlichen
Versionen ersetzen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1671/
Schwachstelle CVE-2013-2035 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2035
Schwachstelle CVE-2013-6440 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6440
Schwachstelle CVE-2014-0018 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0018
Schwachstelle CVE-2014-0058 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0058
Schwachstelle CVE-2014-0093 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0093
Schwachstelle CVE-2014-0107 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0107
Red Hat Security Advisory RHSA-2014:1995:
http://rhn.redhat.com/errata/RHSA-2014-1995.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
