Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Red Hat JBoss Data Virtualization <= 6.0.0 Betroffene Plattformen: Red Hat JBoss Data Virtualization Mehrere Schwachstellen in Red Hat JBoss Data Virtualization ermöglichen einem nicht authentifizierten Angreifer Informationen auszuspähen oder beliebigen Programmcode auszuführen. Die Schwachstellen CVE-2013-2035 und CVE-2014-0058 können nur lokal ausgenutzt werden, während die Schwachstelle CVE-2014-0171 entfernt ausgenutzt werden kann. Red Hat bietet für Red Hat JBoss Data Virtualization 6.0.0 einen Roll-Up Patch an. Patch: Red Hat Security Advisory RHSA-2015:0034 http://rhn.redhat.com/errata/RHSA-2015-0034.html
CVE-2014-0171: Schwachstelle in Odata4j in Red Hat JBoss Data Virtualization
Es existiert eine Schwachstelle in Odata4j, die XML-External-Entity (XXE)
Angriffe ermöglicht. Wenn ein
REST Endpoint eingesetzt wird, kann ein entfernter, nicht authentifizierter
Angreifer einen Request senden, der eine XML-External-Entity enthält. Sobald
diese bearbeitet wird, kann der Angreifer Dateien im Kontext des Benutzers,
der diesen Server ausführt, auf dem Anwendungsserver lesen.
CVE-2014-0058: Schwachstelle in JBoss Enterprise Application Platform
Das Security Audit der Red Hat JBoss Enterprise Application Platform
protokolliert Anfrageparameter im Klartext. In den Protokolldateien zum
Audit werden Passworte gespeichert, wenn die BASIC- oder FORM-basierte
Authentifizierung benutzt wird. Ein lokaler Angreifer mit Zugriffsrechten
auf die Protokolldateien kann diese Schwachstelle ausnutzen, um Anwendungs-
oder Server-Credentials zu erhalten.
CVE-2013-2035: Racecondition-Schwachstelle in HawtJNI von JBoss WS
Durch eine Racecondition in HawtJNI Versionen vor 1.8 kann ein lokaler
Angreifer seine Privilegien erweitern und beliebigen Java Code ausführen.
Unter bestimmten Voraussetzungen schreibt die HawtJNI Library Class
zugehörige Native Libraries in das Verzeichnis /tmp/ mit einem
vorhersagbaren Dateinamen. Dadurch kann ein lokaler Angreifer in dem
Zeitfenster zwischen Schreiben und Ausführen die Native Libraries
überschreiben und mit eigenen, schädlichen Versionen ersetzen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0037/
Schwachstelle CVE-2013-2035 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2035
Schwachstelle CVE-2014-0058 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0058
Red Hat Security Advisory RHSA-2015:0034:
http://rhn.redhat.com/errata/RHSA-2015-0034.html
Schwachstelle CVE-2014-0171 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0171
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
