Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 4 (23.06.2016):
IBM bestätigt die Schwachstelle für IBM Tivoli Storage Manager FastBack
for Microsoft Exchange in den Versionen 6.1.0.0 bis 6.1.5.4 und stellt die
Version 6.1.5.5 als Sicherheitsupdate zur Behebung der Schwachstelle
bereit.
Version 3 (22.06.2016):
IBM bestätigt die Schwachstelle für IBM Tivoli Storage Manager Server in
den Versionen 5.5, 6.1, 6.2, 6.3 und 7.1 und stellt die Version 7.1.5 als
Sicherheitsupdate zur Behebung der Schwachstelle bereit. Die
fehlerbereinigte Version 6.3.6 wird für Ende Juli 2016 angekündigt. Für
die niedrigeren Versionszweige wird ein Upgrade auf eine der
fehlerbereinigten Versionen empfohlen. Alternativ wird ein Workaround
beschrieben.
Version 2 (16.06.2016):
IBM bestätigt die Schwachstelle für Tivoli Storage Manager FastBack und
IBM Tivoli Storage Manager FastBack for Bare Machine Recovery in den
Versionen 5.5 und 6.1 und stellt jeweils die Version 6.1.12.3 als
Sicherheitsupdate zur Behebung der Schwachstelle bereit. Alternativ zu dem
empfohlenen Upgrade auf Version 6.1.12.3 wird für Releases 5.5 ein
Workaround beschrieben.
Version 1 (06.06.2016):
Neues Advisory
Betroffene Software:
IBM Tivoli Storage Manager 5.5
IBM Tivoli Storage Manager 6.1
IBM Tivoli Storage Manager 6.2
IBM Tivoli Storage Manager >= 6.3.0.0
IBM Tivoli Storage Manager <= 6.3.5.x
IBM Tivoli Storage Manager >= 7.1.0.0
IBM Tivoli Storage Manager <= 7.1.4.x
IBM Tivoli Storage Manager Fastback 5.5.x
IBM Tivoli Storage Manager Fastback >= 6.1.0.0
IBM Tivoli Storage Manager Fastback >= 6.1.0.0 Microsoft Exchange
IBM Tivoli Storage Manager Fastback <= 6.1.5.4 Microsoft Exchange
IBM Tivoli Storage Manager Fastback <= 6.1.12.2
IBM Tivoli Storage Manager for Virtual Environments >= 6.3.0.0
IBM Tivoli Storage Manager for Virtual Environments <= 6.3.2.6
IBM Tivoli Storage Manager for Virtual Environments >= 6.4.0.0
IBM Tivoli Storage Manager for Virtual Environments <= 6.4.3.2
IBM Tivoli Storage Manager for Virtual Environments >= 7.1.0.0
IBM Tivoli Storage Manager for Virtual Environments <= 7.1.4.0
Betroffene Plattformen:
Microsoft Windows
Durch Ausnutzen einer Schwachstelle im Tivoli Storage Manager for Virtual
Environments: Data Protection for VMware in den Versionen 7.1 bis 7.1.4.0,
6.4 bis 6.4.3.2 und 6.3 bis 6.3.2.6 sowie IBM Tivoli Storage Manager for
Virtual Environments: Data Protection for Microsoft Hyper-V in den Versionen
7.1 bis 7.1.4.0 kann ein lokaler, nicht authentifizierter Angreifer seine
Privilegien eskalieren, woraus sich eine vollständige Kompromittierung des
Systems ergibt.
IBM stellt für IBM Tivoli Storage Manager for Virtual Environments: Data
Protection for VMware die Versionen 7.1.4.1, 6.4.3.3 und 6.3.2.7 sowie für
IBM Tivoli Storage Manager for Virtual Environments: Data Protection for
Microsoft Hyper-V die Version 7.1.4.1 als Sicherheitsupdates zur Behebung
der Schwachstelle bereit.
Patch:
IBM Security Bulletin swg21983813
http://www-01.ibm.com/support/docview.wss?uid=swg21983813
Patch:
IBM Security Bulletin swg21983815
http://www-01.ibm.com/support/docview.wss?uid=swg21983815
Patch:
IBM Security Bulletin swg21982809
http://www.ibm.com/support/docview.wss?uid=swg21982809
Patch:
IBM Security Bulletin swg21984184
http://www.ibm.com/support/docview.wss?uid=swg21984184
Patch:
IBM Security Bulletin swg21984863
http://www-01.ibm.com/support/docview.wss?uid=swg21984863
Patch:
IBM Security Bulletin swg21984743
http://www-01.ibm.com/support/docview.wss?uid=swg21984743
CVE-2016-2542: Schwachstelle in Flexera InstallShield ermöglicht Erlangen
von Administratorrechten
Eine Schwachstelle im Flexera InstallShield bis einschließlich Version 2015
SP1 betrifft u.a. IBM Tivoli Storage Manager for Virtual Environments: Data
Protection for VMware und IBM Tivoli Storage Manager for Virtual
Environments: Data Protection for Microsoft Hyper-V auf Windows-Systemen.
Diese beruht auf einem nicht vertrauenswürdigen Suchpfad für
Programmbibliotheken. Dadurch ist es mittels einer bösartigen Dynamic Link
Library (Trojan Horse DLL), die in das aktuelle Arbeitsverzeichnis einer
ausführbaren Setup-Launcher Datei platziert werden muss, möglich, erweiterte
Privilegien auf dem betroffenen System zu erlangen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0910/
Schwachstelle CVE-2016-2542 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2542
IBM Security Bulletin swg21983813:
http://www-01.ibm.com/support/docview.wss?uid=swg21983813
IBM Security Bulletin swg21983815:
http://www-01.ibm.com/support/docview.wss?uid=swg21983815
IBM Security Bulletin swg21982809:
http://www.ibm.com/support/docview.wss?uid=swg21982809
IBM Security Bulletin swg21984184:
http://www.ibm.com/support/docview.wss?uid=swg21984184
IBM Security Bulletin swg21984863:
http://www-01.ibm.com/support/docview.wss?uid=swg21984863
IBM Security Bulletin swg21984743:
http://www-01.ibm.com/support/docview.wss?uid=swg21984743
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
