Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Red Hat JBoss Enterprise Web Server 2.1.0 für EL6
Red Hat JBoss Enterprise Web Server 2.1.0 für EL7
Red Hat JBoss Enterprise Web Server < 2.1.1 Betroffene Plattformen: Red Hat Enterprise Linux 6 Red Hat Enterprise Linux 7 Mehrere Schwachstellen in Red Hat JBoss Enterprise Web Server ermöglichen einem entfernten, nicht authentifizierten Angreifer die Durchführung verschiedener Denial-of-Service-Angriffe (DoS) sowie das Umgehen von Sicherheitsvorkehrungen. Red Hat stellt zur Behebung der Schwachstellen den Red Hat JBoss Web Server in der Version 2.1.1 bereit. Zudem veröffentlicht Red Hat Sicherheitsupdates für Red Hat JBoss Web Server 2.1.0 auf den Plattformen Red Hat Enterprise Linux 6 und 7, welche die Schwachstellen CVE-2015-0204 und CVE-2014-3570 nicht adressieren. Patch: Red Hat Security Advisory RHSA-2016:1648 http://rhn.redhat.com/errata/RHSA-2016-1648.html

Patch:

Red Hat Security Advisory RHSA-2016:1649

http://rhn.redhat.com/errata/RHSA-2016-1649.html

Patch:

Red Hat Security Advisory RHSA-2016:1650

http://rhn.redhat.com/errata/RHSA-2016-1650.html

CVE-2016-3110: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff

Es besteht eine Schwachstelle im Apache HTTP-Server, die es ermöglicht durch
das Versenden einer speziell gestalteten Zeichenkette, welche als
MCMP-Servicenachricht über ‘mod_cluster’ versendet wird, eine
Speicherschutzverletzung (Segmentation Fault) auszulösen. Hiervon betroffen
sind ausschließlich virtuelle Hosts (VirtualHost), bei denen ein
Administrator explizit den Empfang von Servicenachrichten durch ‘Worker
Nodes’ (Tomcat oder EAP) freigeschaltet hat, oder ‘mod_cluster’-Management
VirtualHosts, die vollkommen ungeschützt und ohne Authentifizierung über das
Internet erreichbar sind. Ein entfernter, nicht authentifizierter Angreifer
kann mit Hilfe speziell präparierter HTTP-Anfrage einen
Denial-of-Service-Angriff durchführen.

CVE-2016-5387: “Schwachstelle” in Apache HTTP-Server (httpd) ermöglicht
Umgehen von Sicherheitsvorkehrungen

Der Apache HTTP-Server (httpd) bis Version 2.4.23 ist konform zu RFC 3875
Sektion 4.1.18 und schützt deshalb Anwendungen nicht vor nicht
vertrauenswürdigen Client-Daten in der HTTP_PROXY-Umgebungsvariablen.
Dadurch ist es möglich, mittels eines präparierten Proxy-Headers in einem
HTTP-Request den ausgehenden HTTP-Verkehr einer Anwendung auf einen
beliebigen Proxy-Server umzuleiten (“httpoxy”-Problem). HINWEIS: Der
Hersteller teilt dazu mit, dass es sich bei dieser CVE um Anpassungen zur
Vermeidung dieses Problems handelt, mit anderen Worten, es handelt sich
hierbei nicht um eine Schwachstelle im Sinne eines fehlerhaften Verhaltens.

CVE-2016-2106: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff

In OpenSSL existiert eine Schwachstelle in der Funktion EVP_EncodeUpdate().
Durch sehr große Mengen von Eingabedaten nach einem vorhergehenden Aufruf
von EVP_EncryptUpdate() mit einem Teilblock kann es zu einem Überlauf bei
der Längenprüfung und dadurch zu einer Heap-Speicherkorruption kommen.
Innerhalb von OpenSSL wird diese Funktion durch Funktionen verwendet, in
denen kein Überlauf möglich ist. Für Benutzeranwendungen, welche diese APIs
direkt mit einer großen Menge nicht vertrauenswürdiger Daten aufrufen, ist
OpenSSL dagegen verwundbar. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen oder möglicherweise beliebigen Programmcode auszuführen.

CVE-2016-2105: Schwachstelle in OpenSSL ermöglicht
Denial-of-Service-Angriffe

In OpenSSL existiert eine Schwachstelle in der Funktion ‘EVP_EncodeUpdate’,
die für das Base64-Encoding von Binärdaten verwendet wird. Durch sehr große
Mengen von Eingabedaten kann es zu einem Überlauf bei der Längenprüfung und
dadurch zu einer Heap-Speicherkorruption kommen. Innerhalb von OpenSSL wird
diese Funktion primär durch die Familie der ‘PEM_write_bio*’-Funktionen
verwendet, die hauptsächlich in Kommandozeilenanwendungen zur Anwendung
kommt. In diesen Fällen sollten die vorhandenen Längenprüfungen für die
Aufrufe den Überlauf verhindern. Für Benutzeranwendungen, welche diese APIs
direkt mit einer großen Menge nicht vertrauenswürdiger Daten aufrufen, ist
OpenSSL dagegen verwundbar. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen oder möglicherweise beliebigen Programmcode auszuführen.

Oracle nennt diese Schwachstelle in Zusammenhang mit einem eigenen Produkt,
der Oracle MySQL Komponente ‘MySQL Server’, und gibt an, dass bei diesem
eine hohe Verwundbarkeit gegenüber Denial-of-Service (DoS)-Angriffe besteht.
Das von Oracle zur Verfügung gestellte Sicherheitsupdate für diese
Schwachstelle schließt gleichzeitig die Schwachstelle CVE-2016-2106.

CVE-2015-0204: Schwachstelle in OpenSSL ermöglicht Umgehen von
Sicherheitsvorkehrungen

Die ssl3_get_key_exchange-Funktion in s3_clnt.c in OpenSSL bevor 0.9.8zd,
1.0.0 bevor 1.0.0p sowie 1.0.1 bevor 1.0.1k erlaubt einem entfernten
SSL-Server RSA-to-EXPORT_RSA herunterzustufen (“downgrade attack”) und,
durch das Anbieten eines schwachen Ephemeral RSA-Schlüssels in einer nicht
verträglichen Rolle, eine Brute-Force-Entschlüsselung zu ermöglichen. Ein
entfernter, nicht authentifizierter Angreifer, der einen SSL-Server
kontrolliert, kann Sicherheitsvorkehrungen umgehen.
Oracle gibt an, dass der Oracle Datenbankserver in den Versionen 12.1.0.1
und 12.1.0.2 ebenfalls von dieser Schwachstelle betroffen ist und ein
entfernter, nicht authentifizierter Angreifer die Schwachstelle über HTTPS
ausnutzen kann, um Zugriff auf sämtliche über den Datenbankserver
erreichbare Daten zu erhalten. Für eine erfolgreiche Ausnutzung der
Schwachstelle ist allerdings eine Benutzerinteraktion erforderlich.

CVE-2014-3570: Schwachstelle in OpenSSL ermöglicht Umgehen von
Sicherheitsvorkehrungen

Die BN_sqr-Implementierung in OpenSSL bevor 0.9.8zd, 1.0.0 bevor 1.0.0p
sowie 1.0.1 bevor 1.0.1k berechnet die Wurzel eines BIGNUM-Wertes nicht
korrekt. Ein entfernter, nicht authentifizierter Angreifer kann dadurch
leichter, über nicht näher spezifizierte Vektoren, die in Verbindung mit
crypto/bn/asm/mips.pl, crypto/bn/asm/x86_64-gcc.c und crypto/bn/bn_asm.c
stehen, Schutzmechanismen bezwingen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1372/

Schwachstelle CVE-2014-3570 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3570

Schwachstelle CVE-2015-0204 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0204

Schwachstelle CVE-2016-2105 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2105

Schwachstelle CVE-2016-2106 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2106

Schwachstelle CVE-2016-5387 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5387

Schwachstelle CVE-2016-3110 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3110

Red Hat Security Advisory RHSA-2016:1648:
http://rhn.redhat.com/errata/RHSA-2016-1648.html

Red Hat Security Advisory RHSA-2016:1649:
http://rhn.redhat.com/errata/RHSA-2016-1649.html

Red Hat Security Advisory RHSA-2016:1650:
http://rhn.redhat.com/errata/RHSA-2016-1650.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.