DFN-CERT-2015-1144 OpenJDK: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

OpenJDK 1.7.0

Betroffene Plattformen:

Debian Linux 7.8 Wheezy
Debian Linux 8.1 Jessie

Mehrere Schwachstellen in OpenJDK ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Ausführen beliebigen Programmcodes,
Ausspähen von Informationen, Manipulieren von Daten und das Durchführen von
Denial-of-Service-Angriffen.

Debian stellt für die Distributionen Jessie (stable, 8.1) und Wheezy
(oldstable, 7.8) Sicherheitsupdates für OpenJDK 1.7.0 zur Verfügung.

Patch:

Debian Security Advisory DSA-3316-1

https://www.debian.org/security/2015/dsa-3316

CVE-2014-8873: Schwachstelle in OpenJDK erlaubt Ausführen beliebigen
Programmcodes

Eine nicht näher beschriebene Schwachstelle bei der Registrierung des
MIME-Typs für JAR-Dateien, erlaubt einem entfernten, nicht authentisierten
Angreifer das Ausführen beliebigen Programmcodes.

CVE-2015-4760: Schwachstelle in Java SE ermöglicht das Ausführen beliebigen
Programmcodes

Eine leicht ausnutzbare Schwachstelle in der Subkomponente 2D von Oracle
Java SE ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle, unautorisiert das Betriebssystem zu übernehmen und
somit auch beliebigen Programmcode auszuführen. Dies betrifft ausschließlich
Client Installationen von Java. Diese Schwachstelle kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.

CVE-2015-4749: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht einen Denial-of-Service-Angriff

Eine schwer ausnutzbare Schwachstelle in der Subkomponente JNDI von Oracle
Java SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, einen partiellen
Denial-of-Service-Zustand von Java SE, Java SE Embedded oder JRockit
auszulösen. Dies betrifft sowohl Client als auch Server Installationen von
Java. Diese Schwachstelle kann über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden. Sie kann jedoch auch durch
Übermittlung von Daten an APIs in der betroffenen Subkomponente JNDI
ausgenutzt werden, wie z.B. einem Webdienst.

CVE-2015-4748: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht das Ausführen beliebigen Programmcodes

Eine sehr schwer ausnutzbare Schwachstelle in der Subkomponente Security von
Oracle Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über OCSP, unautorisiert das Betriebssystem zu
übernehmen und somit auch beliebigen Programmcode auszuführen. Dies betrifft
sowohl Client als auch Server Installationen von Java. Diese Schwachstelle
kann über Sandboxed Java Web Start Anwendungen und Sandboxed Java Applets
ausgenutzt werden. Sie kann jedoch auch durch Übermittlung von Daten an APIs
in der betroffenen Subkomponente Security ausgenutzt werden, wie z.B. einem
Webdienst.

CVE-2015-4733: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes

Eine leicht ausnutzbare Schwachstelle in der Subkomponente RMI von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.

CVE-2015-4732: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes

Eine leicht ausnutzbare Schwachstelle in der Subkomponente Libraries von
Oracle Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.

CVE-2015-4731: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes

Eine leicht ausnutzbare Schwachstelle in der Subkomponente JMX von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.

CVE-2015-2632: Schwachstelle in Java SE ermöglicht das Ausspähen von
Informationen

Eine leicht ausnutzbare Schwachstelle in der Subkomponente 2D von Oracle
Java SE ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle, unautorisiert Lesezugriff auf ein Subset von Daten
zu erhalten, die für Java SE zugänglich sind. Dies betrifft ausschließlich
Client Installationen von Java. Diese Schwachstelle kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.

CVE-2015-2628: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes

Eine leicht ausnutzbare Schwachstelle in der Subkomponente CORBA von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.

CVE-2015-2625: Schwachstelle in Java SE, Java SE Emdedded und JRockit
ermöglicht das Ausspähen von Informationen

Eine sehr schwer ausnutzbare Schwachstelle in der Subkomponente JSSE von
Oracle Java SE, Java SE Emdedded und JRockit ermöglicht einem entfernten,
nicht authentifizierten Angreifer über das SSL/TLS Protokoll, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE, Java SE
Emdedded oder JRockit zugänglich sind. Dies betrifft sowohl Client als auch
Server Installationen von Java.

CVE-2015-2621: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausspähen von Informationen

Eine leicht ausnutzbare Schwachstelle in der Subkomponente JMX von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE oder Java
SE Embedded zugänglich sind. Dies betrifft ausschließlich Client
Installationen von Java. Diese Schwachstelle kann nur über Sandboxed Java
Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.

CVE-2015-2613: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausspähen von Informationen

Eine leicht ausnutzbare Schwachstelle in der Subkomponente JCE von Oracle
Java SE, und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE oder Java
SE Embedded zugänglich sind. Dies betrifft sowohl Client als auch Server
Installationen von Java. Diese Schwachstelle kann über Sandboxed Java Web
Start Anwendungen und Sandboxed Java Applets ausgenutzt werden. Sie kann
jedoch auch durch Übermittlung von Daten an APIs in der betroffenen
Subkomponente JCE ausgenutzt werden, wie z.B. einem Webdienst.

CVE-2015-2601: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht das Ausspähen von Informationen

Eine leicht ausnutzbare Schwachstelle in der Subkomponente 2D von Oracle
Java SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE, Java SE
Embedded oder JRockit zugänglich sind. Dies betrifft ausschließlich Client
Installationen von Java. Diese Schwachstelle kann über Sandboxed Java Web
Start Anwendungen und Sandboxed Java Applets ausgenutzt werden. Sie kann
jedoch auch durch Übermittlung von Daten an APIs in der betroffenen
Subkomponente JCE ausgenutzt werden, wie z.B. einem Webdienst.

CVE-2015-2590: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes

CVE-2015-4000: TLS: Eine Schwachstelle ermöglicht Umgehen von
Sicherheitsmaßnahmen

Eine Schwachstelle im Handshake des TLS-Protokolls Version 1.2 und früher
führt dazu, dass bei der Aushandlung der zu verwendenden
Diffie-Hellman-Verschlüsselung (DHE) ein Teil der Kommunikation nicht
signiert stattfindet. Der Client sendet zuerst eine Liste mit Vorschlägen
von Algorithmen, die für die Verschlüsselung verwendet werden können, an den
Server und dieser wählt einen Algorithmus aus der Liste aus. Die Verbindung
ist zu dem Zeitpunkt, zu dem der Client die Liste sendet, noch nicht
signiert. Durch einen Man-in-the-Middle-Angriff kann die Liste so verändert
werden, dass aus einem “ClientHello DHE” ein “ClientHello DHE_EXPORT” wird
und der Server eine DHE 512 Bit-Gruppe auswählt. Der Angreifer modifiziert
die Serverantwort entsprechend von “ServerHello DHE_EXPORT” zu “ServerHello
DHE”. Der Client bietet eine unsichere 512-Bit Gruppe im normalen Modus
nicht von sich aus an, akzeptiert diese aber, wenn sie vom Server
vorgeschlagen wird. Voraussetzung ist, dass auf dem Server der EXPORT-Modus
(DHE_EXPORT) aktiviert ist. Viele Server im Internet unterstützen für den
EXPORT-Modus die gleichen Gruppen, wodurch es möglich wird, einen Großteil
der für den Angriff notwendigen Berechnungen vorab zu erledigen.

Die Schwachstelle ist unter dem Namen Logjam bekannt.

CVE-2015-2808: Schwachstelle in der TLS/SSL-Protokoll-Implementierung

Der RC4-Algorithmus, wie er im TLS-Protokoll und SSL-Protokoll verwendet
wird, kombiniert während der Initialisierungsphase Statusdaten nicht korrekt
mit Schlüsseldaten. Ein entfernter, nicht authentifizierter Angreifer kann
durch Ausnutzen dieser Schwachstelle leichter den Klartext der initialen
Bytes eines Streams ermitteln, indem er den Netzwerkverkehr belauscht, der
gelegentlich auf Schlüsseln beruht, die von dieser Invarianzschwäche
betroffen sind, um in der Folge einen Brute-Force-Angriff unter Verwendung
von LSB-Werten gegen die Verschlüsselung durchzuführen (“Bar
Mitzvah”-Problem) und dadurch Informationen auszuspähen.

CVE-2015-0488: Schwachstelle in Oracle Java SE und JRockit ermöglicht
Denial-of-Service-Angriff

OpenJDK, Oracle Java SE und JRockit enthalten in der Implementierung des
SSL/TLS-Protokolls in der JSSE-Komponente eine Schwachstelle im Parser von
X.509-Zertifikaten. Betroffen sind die Versionen Java SE 5.0u81, Java SE
6u91, Java SE 7u76, Java SE 8u40 sowie JRockit R28.3.5. Dies ermöglicht
einem entfernten, nicht authentifizierten Angreifer durch das Senden eines
präparierten Zertifikats die Anwendung zum Absturz zu bringen.

CVE-2015-0480: Schwachstelle in Java ermöglicht Directory Traversal

OpenJDK und Oracle Java in den Versionen Java SE 5.0u81, Java SE 6u91, Java
SE 7u76, Java SE 8u40 enthalten eine Directory Traversal Schwachstelle im
Code, der für das Entpacken von JAR-Archivdateien zuständig ist. Dies
ermöglicht einem entfernten Angreifer ohne Authentifizierung durch das
Senden oder Bereitstellen einer präparierten JAR-Archivdatei, beliebige für
den Benutzer schreibbare Dateien zu überschreiben.

CVE-2015-0478: Schwachstelle in Java schränkt Vertraulichkeit ein

Die RSA-Implementierung in der JCE-Komponente in OpenJDK, Java SE und
JRockit entspricht nicht den aktuellen Sicherheitsempfehlungen. Dies
ermöglicht einem entfernten Angreifer ohne Authentifizierung vertrauliche
Daten auszuspähen. Betroffen sind von dieser Schwachstelle Java SE 5.0u81,
Java SE 6u91, Java SE 7u76, Java SE 8u40 und JRockit R28.3.5

CVE-2015-0477: Schwachstelle in Java ermöglicht Beeinträchtigung der
Integrität

Java enthält in der Komponente Beans der Versionen Java SE 5.0u81, Java SE
6u91, Java SE 7u76 und Java SE 8u40 eine nicht näher beschriebene
Schwachstelle. Dies ermöglicht einem entfernten, nicht authentifizierten
Angreifer die Integrität teilweise zu beeinträchtigen.

CVE-2015-0470: Schwachstelle in Java ermöglicht Manipulation von Daten

Die Hotspot-Komponente von Java enthält eine nicht näher spezifizierte
Schwachstelle. Diese ermöglicht einem entfernten, nicht authentifizierten
Angreifer die Integrität teilweise zu beeinträchtigen. Betroffen ist Oracle
Java SE 8u40.

CVE-2015-0469: Schwachstelle in Java ermöglicht Ausführung beliebiger
Befehle

OpenJDK und Oracle Java SE in den Versionen 5.0u81, 6u91, 7u76 und 8u40
enthält eine Buffer-Overflow-Schwachstelle im Font-Parser der
2D-Subkomponente. Dies ermöglicht einem entfernten, nicht authentifizierten
Angreifer, durch das Senden oder Bereitstellen einer präparierten
Font-Datei, beliebige Befehle in der Java VM zur Ausführung zu bringen.

CVE-2015-0460: Schwachstelle in der Java-Hotspot-Komponente ermöglicht
Ausführung beliebiger Befehle

OpenJDK und Oracle Java in den Versionen SE 5.0u81, SE 6u91, SE 7u76, SE
8u40 verarbeitet in der Hotspot-Subkomponente Phantom-Referenzen nicht
fehlerfrei. Dies ermöglicht einem entfernten, nicht authentifizierten
Angreifer mit einer nicht vertrauenswürdigen Java-Anwendung den Speicher der
Java VM zu korrumpieren, somit die Beschränkungen der Sandbox zu umgehen und
beliebige Befehle zur Ausführung zu bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1144/

Schwachstelle CVE-2015-2808 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2808

Schwachstelle CVE-2015-0460 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0460

Schwachstelle CVE-2015-0469 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0469

Schwachstelle CVE-2015-0470 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0470

Schwachstelle CVE-2015-0477 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0477

Schwachstelle CVE-2015-0478 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0478

Schwachstelle CVE-2015-0480 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0480

Schwachstelle CVE-2015-0488 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0488

Schwachstelle CVE-2015-4000 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4000

Schwachstelle CVE-2015-2590 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2590

Schwachstelle CVE-2015-2601 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2601

Schwachstelle CVE-2015-2613 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2613

Schwachstelle CVE-2015-2621 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2621

Schwachstelle CVE-2015-2625 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2625

Schwachstelle CVE-2015-2628 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2628

Schwachstelle CVE-2015-2632 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2632

Schwachstelle CVE-2015-4731 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4731

Schwachstelle CVE-2015-4732 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4732

Schwachstelle CVE-2015-4733 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4733

Schwachstelle CVE-2015-4748 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4748

Schwachstelle CVE-2015-4749 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4749

Schwachstelle CVE-2015-4760 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4760

Debian Security Advisory DSA-3316-1:
https://www.debian.org/security/2015/dsa-3316

Schwachstelle CVE-2014-8873 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8873

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.