Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache ActiveMQ >= 5.0.0
Apache ActiveMQ <= 5.10.0 Betroffene Plattformen: Red Hat Fedora 22 Red Hat Fedora 23 Eine Schwachstelle in Apache ActiveMQ ermöglicht einem entfernten, nicht authentifizierten Angreifer Informationen auszuspähen. Apache stellt die ActiveMQ Versionen 5.10.1 und 5.11.0 zur Behebung der Schwachstelle bereit. Für Fedora 22 und 23 stehen Backport-Sicherheitsupdates in Form der Pakete activemq-5.6.0-12.fc22 und activemq-5.6.0-12.fc23 im Status 'testing' zur Verfügung. Patch: Apache Software Foundation Security Advisory ActiveMQ http://activemq.apache.org/security-advisories.data/CVE-2014-3612-announcement.txt

Patch:

Fedora Security Update FEDORA-2015-5622085024

https://bodhi.fedoraproject.org/updates/FEDORA-2015-5622085024

CVE-2015-6524: Schwachstelle in Apache ActiveMQ ermöglicht Ausspähen von
Informationen

Es existiert eine Schwachstelle im LDAPLoginModule in Apache ActiveMQ, die
auf eine fehlerhafte Implementierung im Java Authentication and
Authorization Service (JAAS) zurückzuführen ist. Diese ermöglicht die
Verwendung von Wildcards in Benutzernamen, wodurch Brute-Force-Attacken auf
Benutzerkonten möglich sind.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1500/

Schwachstelle CVE-2015-6524 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6524

Apache Software Foundation Security Advisory ActiveMQ:
http://activemq.apache.org/security-advisories.data/CVE-2014-3612-announcement.txt

Fedora Security Update FEDORA-2015-5622085024 :
https://bodhi.fedoraproject.org/updates/FEDORA-2015-5622085024

Fedora Security Update FEDORA-2015-701a1e1a5f :
https://bodhi.fedoraproject.org/updates/FEDORA-2015-701a1e1a5f

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.