Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache Software Foundation Tomcat >= 7.0.0
Apache Software Foundation Tomcat < 7.0.82 Apache Software Foundation Tomcat >= 8.0.0 Rc1
Apache Software Foundation Tomcat < 8.0.47 Apache Software Foundation Tomcat >= 8.5.0
Apache Software Foundation Tomcat < 8.5.23 Apache Software Foundation Tomcat >= 9.0.0 M1
Apache Software Foundation Tomcat < 9.0.1 Betroffene Plattformen: Apple Mac OS X macOS Sierra GNU/Linux Microsoft Windows Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle im Apache Tomcat ausnutzen und über präparierte Anfragen beliebige JSP-Dateien auf ein Server-System hochladen, um anschließend über das Anfragen dieser Dateien darin enthaltenen Programmcode durch das Server-System zur Ausführung zu bringen. Die Apache Software Foundation veröffentlicht Informationen zu der Schwachstelle. Als Sicherheitsupdates stehen die Versionen 7.0.82, 8.0.47, 8.5.23 und 9.0.1 (oder spätere) zur Verfügung. Patch: Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 7.0.82 http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.82

Patch:

Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 8.0.47 and
8.5.23

http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.47

Patch:

Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 9.0.1

http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.1

CVE-2017-12617: Schwachstelle in Apache Tomcat ermöglicht Ausführung
beliebigen Programmcodes

Eine Schwachstelle im Apache Tomcat basiert auf einem nicht näher
beschriebenen Fehler im Kontext der erlaubten Benutzung von ‘HTTP PUT’. Die
Verwendung von ‘HTTP PUT’ wird beispielsweise durch das Setzen des
‘readonly’ Initialisierungsparameters des Default Servlets auf ‘false’
erlaubt. Die Schwachstelle ermöglicht einem entfernten, nicht
authentisierten Angreifer über speziell präparierte Anfragen das Hochladen
beliebiger JSP-Dateien auf das Server-System. Diese JSP-Dateien können
anschließend angefragt werden, wodurch der enthaltene Programmcode durch das
Server-System zur Ausführung gebracht wird.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1758/

Schwachstelle CVE-2017-12617 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12617

Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 7.0.82:
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.82

Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 8.0.47 and
8.5.23:
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.47

Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 9.0.1:
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.1

[SECURITY] CVE-2017-12617 Apache Tomcat Remote Code Execution via JSP upload:
https://lists.apache.org/thread.html/3fd341a604c4e9eab39e7eaabbbac39c30101a022acc11dd09d7ebcb@%3Cannounce.tomcat.apache.org%3E

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.