Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
IBM Spectrum Protect Client <= 6.4 NetApp Service
IBM Spectrum Protect Client <= 6.4 VMware Services
IBM Spectrum Protect Client >= 7.1.0.0 NetApp Services
IBM Spectrum Protect Client >= 7.1.0.0 VMware Services
IBM Spectrum Protect Client <= 7.1.7.x NetApp Services
IBM Spectrum Protect Client <= 7.1.7.x VMware Services
IBM Spectrum Protect Client < 7.1.8 NetApp Services
IBM Spectrum Protect Client < 7.1.8 VMware Services
IBM Spectrum Protect Client >= 8.1.0.0 NetApp Services
IBM Spectrum Protect Client <= 8.1.2.x NetApp Services
IBM Spectrum Protect Client < 8.1.4 NetApp Service
IBM Spectrum Protect for Virtual Environments <= 6.4 Data Protection for
VMware
IBM Spectrum Protect for Virtual Environments >= 7.1.0.0 Data Protection for
VMware
IBM Spectrum Protect for Virtual Environments <= 7.1.7.x Data Protection for
VMware
IBM Spectrum Protect for Virtual Environments < 7.1.8 Data Protection for
VMware
IBM Spectrum Protect for Virtual Environments >= 8.1.0.0 Data Protection for
VMware
IBM Spectrum Protect for Virtual Environments <= 8.1.2.x Data Protection for
VWware
IBM Spectrum Protect for Virtual Environments < 8.1.4 Data Protection for
VMware
Betroffene Plattformen:
GNU/Linux
Microsoft Windows
Mehrere Schwachstellen in OpenSSL betreffen auch IBM Spectrum Protect
(früher: Tivoli Storage Manager) Client und IBM Spectrum Protect for Virtual
Environments (früher: Tivoli Storage Manager for Virtual Environments) Data
Protect for VMware. Ein entfernter, nicht authentisierter Angreifer kann die
Schwachstellen ausnutzen, um Denial-of-Service-Angriffe durchzuführen und
privates Schlüsselmaterial auszuspähen. Die Schwachstellen betreffen
insbesondere Netzwerkverbindungen zwischen IBM Spectrum Protect und NetApp-
beziehungsweise VMware-Diensten.
IBM stellt die IBM Spectrum Protect Client Versionen 7.1.8 für NetApp und
VMware Services sowie die Version 8.1.4 für NetApp Services als
Sicherheitsupdates bereit. Für IBM Spectrum Protect for Virtual Environments
Data Protection for VMware stehen die Versionen 7.1.8 und 8.1.4 zur
Verfügung. Die für beide Produktvarianten ebenfalls betroffenen
Versionszweige 6.4 und früher werden nicht mehr mit Sicherheitsupdates
versorgt, zur Behebung der Schwachstellen ist ein Upgrade auf einen der
derzeit unterstützten Softwareversionszweige erforderlich.
Patch:
IBM Security Bulletin 22011567
http://www-01.ibm.com/support/docview.wss?uid=swg22011567
Patch:
IBM Security Bulletin: Multiple vulnerabilities in OpenSSL affect IBM
Spectrum Protect (formerly Tivoli Storage Manager) Client and IBM Spectrum
Protect (formerly Tivoli Storage Manager) for Virtual Environments: Data
Protection for VMware
CVE-2017-3732: Schwachstelle in OpenSSL ermöglicht Ausspähen von
Informationen
In der “Montgomery Squaring” Prozedur auf x86_64 Architekturen existiert
eine Schwachstelle aufgrund einer fehlerhaften Berechnung in der Funktion
‘BN_mod_exp’. Elliptic Curve Algorithmen sind davon nicht betroffen und auch
Angriffe gegen RSA und DSA werden als sehr schwierig und deshalb als wenig
wahrscheinlich angesehen. Dagegen erscheinen Angriffe gegen Diffie Hellman
(DH) möglich, wenn persistente DH-Parameter verwendet und private Schlüssel
von vielen Clients geteilt werden. Ein entfernter, nicht authentisierter
Angreifer, der Online-Zugriff auf ein angreifbares System hat, kann diese
Schwachstelle ausnutzen, um private Schlüssel zu ermitteln und damit
sensible Informationen auszuspähen. Diese Schwachstelle ist der in OpenSSL
1.0.2e behobenen CVE-2015-3193 sehr ähnlich, muss aber gesondert behandelt
werden.
Im Kontext des Oracle Critical Patch Update Advisory Juli 2017 besteht diese
schwer ausnutzbare Schwachstelle in mehreren Komponenten verschiedener
Oracle Produkte. Ein entfernter, nicht authentisierter Angreifer kann die
Schwachstelle über das HTTPS-Protokoll ausnutzen und auf sämtliche oder
kritische Daten zugreifen, die über die jeweils betroffene Komponente
erreichbar sind.
Im Kontext des Oracle Critical Patch Update Advisory October 2017 existiert
diese schwer ausnutzbare Schwachstelle in der JD Edwards EnterpriseOne Tools
Komponente (Subkomponente: Enterprise Infrastructure SEC) und in der JD
Edwards World Security Komponente (Subkomponente: GUI / World Vision) der
Oracle JD Edwards Products. Ein entfernter, nicht authentisierter Angreifer
kann die Schwachstelle über das HTTPS-Protokoll ausnutzen und auf sämtliche
oder kritische Daten zugreifen, die über die jeweils betroffene Komponente
erreichbar sind.
CVE-2017-3731: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
bzw. Ausspähen von Informationen
Wenn ein Server oder Client, welcher SSL/TLS unterstützt, auf einem 32-Bit
Host läuft und spezifische Chiffren verwendet werden, kann ein
abgeschnittenes Paket dazu führen, dass dieser Server oder Client außerhalb
von Speichergrenzen liest (Out-of-bounds Read), wodurch es normalerweise zu
einem Absturz kommt. Für OpenSSL 1.1.0 bevor 1.1.0d kann dieses durch
Verwendung von ‘CHACHA20/POLY1305’ ausgelöst werden, für Openssl 1.0.2 bevor
1.0.2k durch ‘RC4-MD5’, falls dessen Verwendung nicht deaktiviert wurde. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.
Im Kontext der Komponente MySQL Enterprise Monitor von Oracle MySQL
(Subkomponente: Monitoring: General (OpenSSL)) und der Komponente Secure
Global Desktop (Subkomponente: Core (OpenSSL)) ist die Schwachstelle über
das TLS-Protokoll schwierig ausnutzbar und durch einen erfolgreichen Angriff
kann ein vollständiger Denial-of-Service (DoS)-Zustand herbeigeführt werden.
Im Kontext des Oracle Critical Patch Update Advisory Juli 2017 besteht diese
Schwachstelle in einer nicht spezifizierten Komponente der Oracle Fusion
Middleware sowie in der Security Subkomponente der PeopleSoft Enterprise
PeopleTools Komponente in den unterstützten Versionen 8.54 und 8.55 der
Oracle PeopleSoft Products und soll dem Angreifer das Ausspähen von
Informationen ermöglichen. Außerdem wird sie im Kontext von Oracle MySQL
ebenfalls erwähnt und behoben.
CVE-2016-7055: Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff
In der Prozedur für Broadwell-spezifische Montgomery-Multiplikationen
existiert eine Schwachstelle, die zu fehlerhaften Resultaten führt, wodurch
es zum Fehlschlagen von Authentisierungen und Schlüsselvereinbarungen oder
reproduzierbar falschen Ergebnissen bei Operationen mit öffentlichen
Schlüsseln bei speziell präparierten Eingaben kommen kann. Erste Analysen
legen nahe, dass keine Angriffe gegen private RSA-, DSA- und DH-Schlüssel
möglich sind, da die fragliche Subroutine nicht in Operationen mit privaten
Schlüsseln selbst oder mit direkt von einem Angreifer wählbaren Eingaben
verwendet wird. Unter den Elliptischen Kurven (EC)-Algorithmen gilt nur
die Brainpool P-512 Kurve als betroffen und vermutlich sind Angriffe gegen
die ECDH-Schlüsselvereinbarung möglich. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle ausnutzen, um einen
Denial-of-Service (DoS)-Angriff durchzuführen.
Im Kontext des Oracle Critical Patch Update Advisory Juli 2017 besteht diese
Schwachstelle in einer nicht spezifizierten Komponente der Oracle Fusion
Middleware, Oracle MySQL und den Oracle PeopleSoft Products.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0011/
Schwachstelle CVE-2016-7055 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7055
Schwachstelle CVE-2017-3731 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3731
Schwachstelle CVE-2017-3732 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3732
IBM Security Bulletin 22011567:
http://www-01.ibm.com/support/docview.wss?uid=swg22011567
IBM Security Bulletin: Multiple vulnerabilities in OpenSSL affect IBM Spectrum
Protect (formerly Tivoli Storage Manager) Client and IBM Spectrum Protect
(formerly Tivoli Storage Manager) for Virtual Environments: Data Protection
for VMware:
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-multiple-vulnerabilities-in-openssl-affect-ibm-spectrum-protect-formerly-tivoli-storage-manager-client-and-ibm-spectrum-protect-formerly-tivoli-storage-manager-for-virtual-e-3/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
