Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

NetIQ Access Manager >= 4.2
NetIQ Access Manager <= 4.2.5 Betroffene Plattformen: SUSE Linux Enterprise Server 11 SP4 Mehrere Schwachstellen im vom NetIQ Access Manager verwendeten Apache HTTP-Server ermöglichen einem entfernten, nicht authentisierten Angreifer das Durchführen verschiedener Denial-of-Service-Angriffe, das Ausspähen von Informationen und das Umgehen von Sicherheitsvorkehrungen. Für den NetIQ Access Manager 4.2 Support Pack 5 steht die Version 4.2.5.0-17 als Sicherheitsupdate zur Behebung der Schwachstellen bereit. Der Hersteller empfiehlt allen Benutzern der Access Manager Version 4.2 die Installation des Sicherheitsupdates. Patch: Novell Security Advisory Novell-ADV-5344110 https://download.novell.com/Download?buildid=HcH_x-A_kgo~

CVE-2017-9788: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Ausspähen von Informationen

Der Werteplatzhalter in Proxy-Authorization-Kopfdaten des Typs ‘Digest’ wird
vor oder zwischen aufeinanderfolgenden Zuweisungen der Art ‘key=value’ von
‘mod_auth_digest’ nicht initialisiert oder zurückgesetzt. Durch eine
geeignete Anfrage lässt sich so der Zustandswert aus dem geteilten Speicher
aus einer vorherigen Anfrage in Erfahrung bringen. Ein entfernter, nicht
authentisierter Angreifer kann dadurch möglicherweise sensitive
Informationen ausspähen. Die Folge eines solchen Zugriffs kann auch eine
Zugriffsverletzung sein (Segmentation Fault), wodurch ein Denial-of-Service
(DoS)-Angriff möglich ist.

CVE-2017-7679: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff oder Ausspähen von Informationen

Eine Schwachstelle in Apache HTTP-Server (httpd) bewirkt, dass ‘mod_mime’
beim Versenden eines bösartig präparierten Content-Type-Response-Headers ein
Byte über das Ende eines Pufferspeichers lesen kann (Buffer Overrread). Ein
entfernter, nicht authentisierter Angreifer kann durch das Ausnutzen der
Schwachstelle eine Speicherschutzverletzung (Segmentation Fault) auslösen,
wodurch ein Denial-of-Service (DoS)-Zustand eintritt, oder Informationen
ausspähen.

CVE-2017-7668: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff oder Ausspähen von Informationen

Mit den in den Apache HTTP-Server (httpd) Versionen 2.2.32 und 2.4.24
durchgeführten Änderungen zur ‘HTTP Strict’-Verarbeitung wurde eine
Schwachstelle in die Token-Listen Verarbeitung eingeführt, welche es der
Funktion ‘ap_find_token()’ ermöglicht über das Ende einer eingegebenen
Zeichenkette hinaus zu suchen (Buffer Overread). Ein entfernter, nicht
authentisierter Angreifer kann dies über eine bösartig präparierte Sequenz
von Anfrage-Headern ausnutzen und eine Speicherschutzverletzung
(Segmentation Fault) auslösen, wodurch ein Denial-of-Service (DoS)-Zustand
eintritt, oder die Funktion ‘ap_find_token()’ zwingen falsche Werte zurück
zu liefern, wodurch er Informationen ausspähen kann.

CVE-2017-3169: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Denial-of-Service-Angriff

Ruft ein Drittanbieter-Modul in Apache HTTP-Server (httpd) die Funktion
‘ap_hook_process_connection()’ auf, wenn eine HTTP-Anfrage auf einem
HTTPS-Port eingeht, kann eine NULL-Zeiger-Dereferenzierung durch ‘mod_ssl’
provoziert werden. Ein entfernter, nicht authentisierter Angreifer kann
einen Denial-of-Service (DoS)-Angriff durchführen.

CVE-2017-3167: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Umgehen von Sicherheitsvorkehrungen

Wird die Funktion ‘ap_get_basic_auth_pw()’ durch Drittanbieter-Module
außerhalb der Authentifizierungsphase verwendet, ist es möglich
Authentifizierungsanforderungen in Apache HTTP-Server (httpd) zu umgehen.
Ein entfernter, nicht authentisierter Angreifer kann Sicherheitsvorkehrungen
umgehen.

CVE-2016-5387: “Schwachstelle” in Apache HTTP-Server (httpd) ermöglicht
Umgehen von Sicherheitsvorkehrungen

Der Apache HTTP-Server (httpd) bis Version 2.4.23 ist konform zu RFC 3875
Sektion 4.1.18 und schützt deshalb Anwendungen nicht vor nicht
vertrauenswürdigen Client-Daten in der HTTP_PROXY-Umgebungsvariablen.
Dadurch ist es möglich, mittels eines präparierten Proxy-Headers in einem
HTTP-Request den ausgehenden HTTP-Verkehr einer Anwendung auf einen
beliebigen Proxy-Server umzuleiten (‘httpoxy’-Problem). HINWEIS: Der
Hersteller teilt dazu mit, dass es sich bei dieser CVE um Anpassungen zur
Vermeidung dieses Problems handelt, mit anderen Worten, es handelt sich
hierbei nicht um eine Schwachstelle im Sinne eines fehlerhaften Verhaltens.
Ein entfernter, nicht authentisierter Angreifer kann Sicherheitsvorkehrungen
umgehen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1926/

Schwachstelle CVE-2016-5387 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5387

Schwachstelle CVE-2017-3167 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3167

Schwachstelle CVE-2017-3169 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3169

Schwachstelle CVE-2017-7668 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7668

Schwachstelle CVE-2017-7679 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7679

Schwachstelle CVE-2017-9788 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9788

Novell Security Advisory Novell-ADV-5344110:
https://download.novell.com/Download?buildid=HcH_x-A_kgo~

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.