Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
RedHat JBoss Fuse <= 6.1.0 Betroffene Plattformen: Red Hat Linux Mehrere Schwachstellen in JBoss Fuse ermöglichen einem zumeist entfernten, nicht authentifizierten Angreifer Sicherheitsvorkehrungen zu umgehen, Informationen auszuspähen und falsche Informationen darzustellen. Red Hat stellt JBoss Fuse 6.2.0 zur Verfügung, um diese Schwachstellen zu beheben. Patch: Red Hat Security Advisory RHSA-2015:1176 http://rhn.redhat.com/errata/RHSA-2015-1176.html
CVE-2014-4651: Schwachstelle in JClouds erlaubt Ausspähen von Informationen
Die JClouds Scriptbuilder Statements Klasse schreibt temporäre Dateien an
einen vorhersagbaren Ort. Ein lokaler, nicht authentisierter Angreifer kann
diese Schwachstelle ausnutzen, um Zugang zu sensiblen Informationen zu
erlangen, einen Denial-of-Service-Zustand herbeizuführen oder andere nicht
näher spezifizierte Angriffe durchzuführen.
CVE-2015-1796: Schwachstelle in OpenSAML Java erlaubt Ausspähen von
Informationen
Eine kritische Schwachstelle in OpenSAML Java in der PKIX Trust Engine führt
dazu, dass die Evaluierung für vertrauenswürdige Namen offen gelegt wird.
Ein entfernter, einfach authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um Informationen auszuspähen.
CVE-2014-8175: Schwachstelle in JBoss Fuse und A-MQ erlaubt Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in JBoss Fuse erlaubt jedem Benutzer, der in der
“users.properties”-Datei definiert ist, Zugriff auf die HawtIO-Konsole, ohne
dass er eine Administratorrolle hätte. Ein entfernter, angemeldeter
Benutzer, als Angreifer, kann diese Schwachstelle ausnutzen, um die
beabsichtigten Anmeldebeschränkungen für die HawtIO-Konsole zu umgehen.
CVE-2013-7398: Schwachstelle im Async-Http-Client ermöglicht Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle im Async-Http-Client führt dazu, dass nicht überprüft
wird, ob der Hostname mit dem Domainnamen im Common Name (CN) oder
subjectAltName des vorgelegten X509 Zertifikates übereinstimmt. Dies
ermöglicht es, mit einem für alle Domainnamen gültigem Zertifikat, einen SSL
Server vorzutäuschen. Ein entfernter, nicht authentifizierter Angreifer kann
Sicherheitsmaßnahmen umgehen.
CVE-2013-7397: Schwachstelle in Async-Http-Client ermöglicht Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle im Async-Http-Client führt dazu, dass die Überprüfung von
SSL/TSL Zertifikaten unter nicht näher beschriebenen Umständen deaktiviert
wird. Ein entfernter, nicht authentifizierter Angreifer kann durch
präparierte Zertifikate Sicherheitsmaßnahmen umgehen.
CVE-2015-0227: Schwachstelle in Apache WSS4J erlaubt Umgehen von
Sicherheitsvorkehrungen
In Apache WSS4J bevor 1.6.17 und 2.x bevor 2.0.2 kann die
requireSignedEncryptedDataElements-Konfiguration umgangen werden. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, mittels eines XML “Signature Wrapping”-Angriffs, um den Inhalt
eines signierten Requests zu manipulieren.
CVE-2015-0226: Schwachstelle in Apache WSS4J erlaubt Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in Apache WSS4J besteht in einer Verwundbarkeit gegenüber
dem sogenannten Bleichenbacher-Angriff aufgrund eines unzureichenden Fixes
für die Schwachstelle CVE-2011-2487. Eine frühere Maßnahme gegen den
Bleichenbacher-Angriff auf die XML-Verschlüsselung (CVE-2011-2487) wirft
eine “Exception”, die es dem Angreifer erlaubt ein Versagen des versuchten
Angriffs festzustellen, wodurch Apache WSS4J gegenüber dem Angriff
verwundbar bleibt. Die ursprüngliche Schwachstelle erlaubte einem
entfernten, nicht authentisierten Angreifer den symmetrischen Schlüssel
komplett im Klartext zu erhalten.
CVE-2014-0364: Schwachstelle im ParsePoster in der Smack XMPP API
Eine Schwachstelle in der ParseRoster-Komponente in der Smack XMPP API bevor
4.0.0-rc1 besteht darin, dass das “from”-Attribut von einer “roster-query IQ
stanza” nicht verifiziert wird. Diese Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, mittels eines
präparierten Attibutes, um IQ-Antworten zu spoofen.
CVE-2014-0363: Schwachstelle im ServerTrustManager in der Smack XMPP API
Eine Schwachstelle in der ServerTrustManager-Komponente in der Smack XMPP
API vor Version 4.0.0-rc1 besteht darin, dass “basicConstraints” und
“nameConstraints” in X.509-Zertifikatsketten von SSL-Servern nicht
verifiziert werden. Diese Schwachstelle kann von einem entfernten, nicht
authentisierten Angreifer, als “Man-in-the-Middle”, mittels einer
präparierten Zertifikatskette, ausgenutzt werden, um Server zu “spoofen” und
sensitive Informationen zu erhalten.
CVE-2014-5075: Schwachstelle in Smack ermöglicht Man-in-the-Middle-Angriffe
Es existiert eine Schwachstelle in Smack. Smack verwendet das
Java-“SSLSocket”, welches das Peer-Zertifikat mithilfe des
“X509TrustManager” prüft, aber nicht den Hostnamen verifiziert. Daher ist es
möglich, den Datenverkehr zwischen einer Smack-Anwendung und einem legitimen
XMPP-Server, über den Server eines Angreifers, umzuleiten. Dafür wird ein
gültiges Zertifikat für eine Domain, die unter der Kontrolle des Angreifers
steht, benötigt.
CVE-2014-3577: Schwachstelle in Apache Commons HTTPClient
Eine Schwachstelle im Apache HttpComponents HttpClient besteht darin, dass
die Überprüfung des Hostnames anfällig für Man-in-the-Middle-Angriffe ist.
Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle
ausnutzen, um einen Benutzer des HTTPClients auf einen falschen und
potentiell schädlichen Host umzuleiten, wodurch weitere, nicht näher
spezifizierte Angriffe möglich werden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0953/
Schwachstelle CVE-2014-0363 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0363
Schwachstelle CVE-2014-0364 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0364
Schwachstelle CVE-2014-3577 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3577
Schwachstelle CVE-2014-5075 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5075
Schwachstelle CVE-2015-0227 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0227
Schwachstelle CVE-2015-0226 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0226
Schwachstelle CVE-2013-7397 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7397
Schwachstelle CVE-2013-7398 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7398
Red Hat Security Advisory RHSA-2015:1176:
http://rhn.redhat.com/errata/RHSA-2015-1176.html
Schwachstelle CVE-2014-4651 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4651
Schwachstelle CVE-2014-8175 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8175
Schwachstelle CVE-2015-1796 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1796
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
