Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Oracle VM VirtualBox < 5.1.30 Oracle Secure Global Desktop 5.3 Betroffene Plattformen: Apple Mac OS GNU/Linux Microsoft Windows Oracle Solaris Mehrere Schwachstellen in der Oracle VM VirtualBox Komponente der Oracle Virtualisierung oder in verwendeten Subkomponenten wie OpenSSL und Apache HTTP-Server können auch von einem entfernten, nicht authentisierten Angreifer für das Umgehen von Sicherheitsvorkehrungen, Ausspähen und Manipulieren von Daten sowie das Herbeiführen eines vollständigen Denial-of-Service-Zustands ausgenutzt werden. Zur Behebung der Schwachstellen stellt Oracle die Oracle VM VirtualBox 5.1.30 sowie Sicherheitsupdates für die betroffenen Programmversion Secure Global Desktop 5.3 zur Verfügung. Patch: Oracle Critical Patch Update Advisory - Oktober 2017 - Oracle Virtualization http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html#AppendixOVIR
CVE-2017-10428: Schwachstellen in Oracle VM VirtualBox ermöglichen
Manipulation von Daten
Die Komponente Oracle VM VirtualBox der Oracle Virtualisation enthält eine
schwer auszunutzende Schwachstelle in der Subkomponente Core. Ein lokaler,
authentisierter, hoch privilegiert Angreifer kann die Schwachstellen für
einen partiellen Denial-of-Service-Angriff, sowie für schreibenden und
lesenden Zugriff auf Daten, über die mittels der Oracle VM VirtualBox
zugegriffen werden kann, ausnutzen. Darüber hinaus kann die Ausnutzung der
Schwachstellen andere Produkte signifikant beeinflussen.
CVE-2017-10392 CVE-2017-10407 CVE-2017-10408: Schwachstellen in Oracle VM
VirtualBox ermöglichen Manipulation von Daten
Die Komponente Oracle VM VirtualBox der Oracle Virtualisation enthält
mehrere leicht auszunutzende Schwachstellen in der Subkomponente Core. Ein
lokaler, authentisierter, hoch privilegiert Angreifer kann die
Schwachstellen für einen Denial-of-Service-Angriff, sowie für schreibenden
und lesenden Zugriff auf Daten, über die mittels der Oracle VM VirtualBox
zugegriffen werden kann, ausnutzen. Darüber hinaus kann die Ausnutzung der
Schwachstellen andere Produkte signifikant beeinflussen.
CVE-2017-9788: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Ausspähen von Informationen
Der Werteplatzhalter in Proxy-Authorization-Kopfdaten des Typs ‘Digest’ wird
vor oder zwischen aufeinanderfolgenden Zuweisungen der Art ‘key=value’ von
‘mod_auth_digest’ nicht initialisiert oder zurückgesetzt. Durch eine
geeignete Anfrage lässt sich so der Zustandswert aus dem geteilten Speicher
aus einer vorherigen Anfrage in Erfahrung bringen. Ein entfernter, nicht
authentisierter Angreifer kann dadurch möglicherweise sensitive
Informationen ausspähen. Die Folge eines solchen Zugriffs kann auch eine
Zugriffsverletzung sein (Segmentation Fault), wodurch ein Denial-of-Service
(DoS)-Angriff möglich ist.
CVE-2017-7679: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff oder Ausspähen von Informationen
Eine Schwachstelle in Apache HTTP-Server (httpd) bewirkt, dass ‘mod_mime’
beim Versenden eines bösartig präparierten Content-Type-Response-Headers ein
Byte über das Ende eines Pufferspeichers lesen kann (Buffer Overrread). Ein
entfernter, nicht authentisierter Angreifer kann durch das Ausnutzen der
Schwachstelle eine Speicherschutzverletzung (Segmentation Fault) auslösen,
wodurch ein Denial-of-Service (DoS)-Zustand eintritt, oder Informationen
ausspähen.
CVE-2017-7668: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff oder Ausspähen von Informationen
Mit den in den Apache HTTP-Server (httpd) Versionen 2.2.32 und 2.4.24
durchgeführten Änderungen zur ‘HTTP Strict’-Verarbeitung wurde eine
Schwachstelle in die Token-Listen Verarbeitung eingeführt, welche es der
Funktion ‘ap_find_token()’ ermöglicht über das Ende einer eingegebenen
Zeichenkette hinaus zu suchen (Buffer Overread). Ein entfernter, nicht
authentisierter Angreifer kann dies über eine bösartig präparierte Sequenz
von Anfrage-Headern ausnutzen und eine Speicherschutzverletzung
(Segmentation Fault) auslösen, wodurch ein Denial-of-Service (DoS)-Zustand
eintritt, oder die Funktion ‘ap_find_token()’ zwingen falsche Werte zurück
zu liefern, wodurch er Informationen ausspähen kann.
CVE-2017-3169: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff
Ruft ein Drittanbieter-Modul in Apache HTTP-Server (httpd) die Funktion
‘ap_hook_process_connection()’ auf, wenn eine HTTP-Anfrage auf einem
HTTPS-Port eingeht, kann eine NULL-Zeiger-Dereferenzierung durch ‘mod_ssl’
provoziert werden. Ein entfernter, nicht authentisierter Angreifer kann
einen Denial-of-Service (DoS)-Angriff durchführen.
CVE-2017-3167: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Umgehen von Sicherheitsvorkehrungen
Wird die Funktion ‘ap_get_basic_auth_pw()’ durch Drittanbieter-Module
außerhalb der Authentifizierungsphase verwendet, ist es möglich
Authentifizierungsanforderungen in Apache HTTP-Server (httpd) zu umgehen.
Ein entfernter, nicht authentisierter Angreifer kann Sicherheitsvorkehrungen
umgehen.
CVE-2017-3733: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Abhängig von der verwendeten Chiffrenart (Cipher Suite) kann OpenSSL
abstürzen, wenn ‘Encrypt-Then-MAC’ während der Neuverhandlung eines
Handshakes (Renegotiation Handshake) ausgehandelt wird und nicht Teil des
ursprünglichen Handshakes war oder aber Teil des ursprünglichen Handshakes
war und nicht mehr Teil der Neuverhandlung ist. Die Schwachstelle betrifft
Server- und Client-Installationen. Ein entfernter, nicht authentifizierter
Angreifer kann durch Forcieren einer speziellen Art der
Handshake-Verhandlung den gegenüberliegenden Endpunkt (Client oder Server)
zum Absturz bringen und dadurch einen Denial-of-Service (DoS)-Zustand
erzeugen.
Im Kontext des Sicherheitsupdates für Oracle Virtualization wird als
Auswirkung der Schwachstelle das Ausspähen und Manipulieren von Daten
angegeben.
CVE-2017-3732: Schwachstelle in OpenSSL ermöglicht Ausspähen von
Informationen
In der “Montgomery Squaring” Prozedur auf x86_64 Architekturen existiert
eine Schwachstelle aufgrund einer fehlerhaften Berechnung in der Funktion
‘BN_mod_exp’. Elliptic Curve Algorithmen sind davon nicht betroffen und auch
Angriffe gegen RSA und DSA werden als sehr schwierig und deshalb als wenig
wahrscheinlich angesehen. Dagegen erscheinen Angriffe gegen Diffie Hellman
(DH) möglich, wenn persistente DH-Parameter verwendet und private Schlüssel
von vielen Clients geteilt werden. Ein entfernter, nicht authentisierter
Angreifer, der Online-Zugriff auf ein angreifbares System hat, kann diese
Schwachstelle ausnutzen, um private Schlüssel zu ermitteln und damit
sensible Informationen auszuspähen. Diese Schwachstelle ist der in OpenSSL
1.0.2e behobenen CVE-2015-3193 sehr ähnlich, muss aber gesondert behandelt
werden.
Im Kontext des Oracle Critical Patch Update Advisory Juli 2017 besteht diese
schwer ausnutzbare Schwachstelle in mehreren Komponenten verschiedener
Oracle Produkte. Ein entfernter, nicht authentisierter Angreifer kann die
Schwachstelle über das HTTPS-Protokoll ausnutzen und auf sämtliche oder
kritische Daten zugreifen, die über die jeweils betroffene Komponente
erreichbar sind.
Im Kontext des Oracle Critical Patch Update Advisory October 2017 existiert
diese schwer ausnutzbare Schwachstelle in der JD Edwards EnterpriseOne Tools
Komponente (Subkomponente: Enterprise Infrastructure SEC (OpenSSL)) und in
der JD Edwards World Security Komponente (Subkomponente: GUI / World Vision
(OpenSSL)) der Oracle JD Edwards Products. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle über das HTTPS-Protokoll
ausnutzen und auf sämtliche oder kritische Daten zugreifen, die über die
jeweils betroffene Komponente erreichbar sind.
CVE-2017-3731: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
bzw. Ausspähen von Informationen
Wenn ein Server oder Client, welcher SSL/TLS unterstützt, auf einem 32-Bit
Host läuft und spezifische Chiffren verwendet werden, kann ein
abgeschnittenes Paket dazu führen, dass dieser Server oder Client außerhalb
von Speichergrenzen liest (Out-of-bounds Read), wodurch es normalerweise zu
einem Absturz kommt. Für OpenSSL 1.1.0 bevor 1.1.0d kann dieses durch
Verwendung von ‘CHACHA20/POLY1305’ ausgelöst werden, für Openssl 1.0.2 bevor
1.0.2k durch ‘RC4-MD5’, falls dessen Verwendung nicht deaktiviert wurde. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.
Im Kontext der Komponente MySQL Enterprise Monitor von Oracle MySQL
(Subkomponente: Monitoring: General (OpenSSL)) und der Komponente Secure
Global Desktop (Subkomponente: Core (OpenSSL)) ist die Schwachstelle über
das TLS-Protokoll schwierig ausnutzbar und durch einen erfolgreichen Angriff
kann ein vollständiger Denial-of-Service (DoS)-Zustand herbeigeführt werden.
Im Kontext des Oracle Critical Patch Update Advisory Juli 2017 besteht diese
Schwachstelle in einer nicht spezifizierten Komponente der Oracle Fusion
Middleware sowie in der Security Subkomponente der PeopleSoft Enterprise
PeopleTools Komponente in den unterstützten Versionen 8.54 und 8.55 der
Oracle PeopleSoft Products und soll dem Angreifer das Ausspähen von
Informationen ermöglichen. Außerdem wird sie im Kontext von Oracle MySQL
ebenfalls erwähnt und behoben.
CVE-2017-3730: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
Wenn ein schädlicher Server schlechte Parameter für einen DHE- oder
ECDHE-Schlüsselaustausch bereitstellt, kann dies dazu führen, dass der
Client versucht einen NULL-Zeiger zu dereferenzieren, wodurch es zum Absturz
des Clients kommt. Ein entfernter, nicht authentisierter Angreifer, der
einen Server kontrolliert, kann diese Schwachstelle ausnutzen, um einen
Denial-of-Service (DoS)-Angriff gegen Clients durchzuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1828/
Schwachstelle CVE-2017-3730 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3730
Schwachstelle CVE-2017-3731 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3731
Schwachstelle CVE-2017-3732 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3732
Schwachstelle CVE-2017-3733 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3733
Schwachstelle CVE-2017-3167 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3167
Schwachstelle CVE-2017-3169 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3169
Schwachstelle CVE-2017-7668 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7668
Schwachstelle CVE-2017-7679 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7679
Schwachstelle CVE-2017-9788 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9788
Oracle Critical Patch Update Advisory – Oktober 2017 – Oracle Virtualization:
http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html#AppendixOVIR
Oracle Virtualization CPUOct2017 Risk Matrix:
http://www.oracle.com/technetwork/security-advisory/cpuoct2017verbose-3236627.html#OVIR
Schwachstelle CVE-2017-10392 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10392
Schwachstelle CVE-2017-10407 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10407
Schwachstelle CVE-2017-10408 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10408
Schwachstelle CVE-2017-10428 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-10428
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
