Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM Spectrum Protect Client Management Services >= 7.1.0.000
IBM Spectrum Protect Client Management Services < 7.1.8 IBM Spectrum Protect Client Management Services >= 8.1.0.000
IBM Spectrum Protect Client Management Services < 8.1.3 IBM Spectrum Protect Operations Center <= 6.4 IBM Spectrum Protect Operations Center >= 7.1.0.000
IBM Spectrum Protect Operations Center < 7.1.8 IBM Spectrum Protect Operations Center >= 8.1.0.000
IBM Spectrum Protect Operations Center < 8.1.3 Betroffene Plattformen: GNU/Linux IBM AIX Microsoft Windows Mehrere Schwachstellen in IBM Java, von denen zwei explizit referenziert werden, betreffen auch IBM Spectrum Protect (früher: Tivoli Storage Manager) Operations Center und Client Management Services. Ein entfernter, nicht authentisierter Angreifer kann die Schwachstellen ausnutzen, um Informationen auszuspähen oder Privilegien zu eskalieren, wodurch er ein betroffenes System komplett unter seine Kontrolle bringen kann. Für IBM Spectrum Protect Operations Center stehen die Versionen 8.1.3 und 7.1.8 auf AIX, Linux und Windows als erste fehlerbereinigte Versionen zur Verfügung. Die Operations Center Version 6.4 wird nicht mehr unterstützt, es wird ein Upgrade auf die Versionszweige 7 oder 8 empfohlen. Für die Client Management Services (CMS) stehen ebenfalls die Versionen 8.1.3 und 7.1.8 als erste Version bereit, in der die Schwachstellen behoben wurden, allerdings nur auf Linux und Windows. Patch: IBM Security Bulletin 2009293 http://www-01.ibm.com/support/docview.wss?uid=swg22009293

CVE-2017-10115: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht Ausspähen von Informationen

Eine leicht auszunutzende Schwachstelle in der Subkomponente JCE von Java
SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht
authentisierten Angreifer über verschiedene Netzwerkprotokolle das Ausspähen
sämtlicher von der betroffenen Software erreichbaren Daten oder weiterer
kritischer Daten. Die Schwachstelle betrifft Java-Installationen, die zur
Ausführung der Programme auf die Sandbox zurückgreifen sowie solche, die
über die Programmschnittstelle der Subkomponente angesprochen werden können.

CVE-2017-10116: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht komplette Kompromittierung der Software

Es existiert eine schwer auszunutzende Schwachstelle in der Subkomponente
Security von Java SE, Java SE Embedded und JRockit, die einem entfernten,
nicht authentisierten Angreifer über verschiedene Netzwerkprotokolle die
komplette Kompromittierung der betroffenen Software und darüber hinaus
Einfluss auf weitere Produkte ermöglicht. Die Schwachstelle betrifft
Java-Installationen, die zur Ausführung der Programme auf die Sandbox
zurückgreifen und solche, die über die Programmschnittstelle der
Subkomponente angesprochen werden können. Zur erfolgreichen Ausnutzung der
Schwachstelle ist die Interaktion eines Benutzers erforderlich.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1775/

Schwachstelle CVE-2017-10115 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10115

Schwachstelle CVE-2017-10116 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10116

IBM Security Bulletin 2009293:
http://www-01.ibm.com/support/docview.wss?uid=swg22009293

IBM Security Bulletin: Multiple vulnerabilities in IBM Java Runtime affect IBM
Spectrum Protect (formerly Tivoli Storage Manager) Operations Center and
Client Management Services (CVE-2017-10115, CVE-2017-10116):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-multiple-vulnerabilities-in-ibm-java-runtime-affect-ibm-spectrum-protect-formerly-tivoli-storage-manager-operations-center-and-client-management-services-cve-2017-10115-cve/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.