Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache CXF <= 2.7.10 Betroffene Plattformen: Red Hat Fedora 22 Durch Ausnutzen dieser Schwachstellen kann ein entfernter, nicht authentisierter Angreifer Benutzerrechte erlangen, Denial-of-Service (DoS)-Angriffe durchführen oder eine falsche Identität vortäuschen. Für Fedora 22 werden Sicherheitsupdates in Form der Pakete jboss-connector-1.6-api-1.0.1-1.fc22, cxf-build-utils-2.6.0-1.fc22, opensaml-java-xmltooling-1.3.4-9.fc22, cxf-xjc-utils-2.6.2-1.fc22 und cxf-2.7.11-1.fc22 (im Status "testing") zur Verfügung gestellt, um diese Schwachstellen zu beheben. Patch: Fedora Security Update FEDORA-2015-4726 https://admin.fedoraproject.org/updates/FEDORA-2015-4726/opensaml-java-xmltooling-1.3.4-9.fc22,jboss-connector-1.6-api-1.0.1-1.fc22,cxf-xjc-utils-2.6.2-1.fc22,cxf-build-utils-2.6.0-1.fc22,cxf-2.7.11-1.fc22

CVE-2014-3584: Schwachstelle in Apache CXF erlaubt Denial-of-Service

Der SamlHeaderInHandler in Apache CXF bevor 2.6.11, 2.7.x bevor 2.7.8 und
3.0.x bevor 3.0.1 erlaubt einem entfernten, nicht authentisierten Angreifer,
mittels eines präparierten SAML-Tokens im Autorisierungs-Header einer
Anfrage an einen JAX-RS-Dienst, einen Denial-of-Serivice-Zustand
(Endlosschleife) zu verursachen.

CVE-2014-3623: Schwachstelle in der SAML SubjectConfirmation in Apache CXF

In Apache CXF werden nicht alle Anforderungen der Sicherheits-Semantik der
SAML SubjectConfirmation Methoden korrekt durchgesetzt, wenn
TransportBinding verwendet wird. Web-Dienste, die mit WSS4j, wie von Apache
CXF eingesetzt, abgesichert werden und SAML für die Authentisierung nutzen,
werden hierdurch anfällig für Spoofing-Angriffe.

CVE-2014-0110: Denial-of-Service-Schwachstelle in Apache CXF

Apache CXF vor Version 2.6.14 und 2.7.x vor Version 2.7.11 enthält eine
Schwachstelle beim Verarbeiten von großen, ungültigen SOAP Nachrichten. Ein
entfernter, nicht authentifizierter Angreifer kann, durch das Senden von
manipulierten SOAP-Nachrichten, bewirken, dass ein extremer
Speicherverbrauch eintritt, da die SOAP-Nachricht als temporäre Datei in das
/tmp Verzeichnis geschrieben wird und in der Folge ein
Denial-of-Service-Zustand eintritt.

CVE-2014-0109: Denial-of-Service-Schwachstelle in Apache CXF

Apache CXF vor Version 2.6.14 und 2.7.x vor Version 2.7.11 enthält eine
Schwachstelle beim Erzeugen von Fehlermeldungen für spezielle POST Anfragen.
Ein entfernter, nicht authentifizierter Angreifer kann, durch das Senden von
manipulierten Anfragen, bewirken, dass ein extremer Speicherverbrauch
eintritt und ein “Out of Memory”-Fehler daraus resultiert.

CVE-2014-0035: Fehlende Verschlüsselung des Apache CXF-Clients

Ein Apache CXF-Client, der eine symmetrische “EncryptBeforeSigning” Passwort
Policy verwendet, sendet Username Tokens fälschlicherweise im Klartext. Ein
entfernter, nicht authentifizierter Angreifer ist in der Lage diese
Schwachstelle für Man-in-the-Middle-Angriffe zu nutzen und Benutzername plus
Passwort auszuspähen.

CVE-2014-0034: Schwachstelle im Apache CXF SecurityTokenService(STS)

Der SecurityTokenService, der als Teil von Apache CXF verfügbar ist,
akzeptiert unter bestimmten Umständen ungültige SAML (Security Assertion
Markup Language) Token als gültig. Ein entfernter, nicht authentifizierter
Angreifer kann, durch ein speziell manipuliertes SAML-Token, Zugriff auf
eine Anwendung erlangen, die STS für die Validierung des SAML Tokens
einsetzt.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0426/

Schwachstelle CVE-2014-0109 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0109

Schwachstelle CVE-2014-0110 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0110

Schwachstelle CVE-2014-0034 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0034

Schwachstelle CVE-2014-0035 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0035

Schwachstelle CVE-2014-3623 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3623

Schwachstelle CVE-2014-3584 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3584

Fedora Security Update FEDORA-2015-4726:
https://admin.fedoraproject.org/updates/FEDORA-2015-4726/opensaml-java-xmltooling-1.3.4-9.fc22,jboss-connector-1.6-api-1.0.1-1.fc22,cxf-xjc-utils-2.6.2-1.fc22,cxf-build-utils-2.6.0-1.fc22,cxf-2.7.11-1.fc22

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.