UPDATE: DFN-CERT-2014-0045 Java, JavaFx, JRockit: Mehrere Schwachstellen ermöglichen das Erlangen von Administratorrechten [][Linux][RedHat][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (17.01.2014):
Für Red Hat 5 und 6 werden Versionen von Java-1.7.0-Oracle bereitgestellt.
Version 1 (15.01.2014):
Neues Advisory

Betroffene Software:

Oracle Java FX <= 2.2.45 Oracle Java SE <= 5.0u55 Oracle Java SE <= 6u65 Oracle Java SE <= 7u45 Oracle Java SE Embedded <= 7u45 Oracle JRockit <= R27.7.7 Oracle JRockit <= R28.2.9 Red Hat Extras 5 Client/Java-1.7.0-Oracle Red Hat Extras 5 Server/Java-1.7.0-Oracle Red Hat Extras 6/Java-1.7.0-Oracle Betroffene Plattformen: Apple Mac OS X Linux Kernel Microsoft Windows Oracle Solaris Red Hat Enterprise Linux Mit dem January 2014 Patch Day hat Oracle 36 Sicherheitslücken in Java geschlossen, 34 davon sind ohne Authenfizierung durch beliebige Angreifer im Internet ausnutzbar. Die möglichen Auswirkungen sind sehr unterschiedlich, die betroffenen Geräte und Rechner sind regelmäßig nicht nur durch einzelne Sicherheitslücken angreifbar. Die Schwachstellen betreffen zu großen Teilen auch Java Embedded, außerdem sind Java FX und JRockit betroffen. Patch: Oracle Advisory für Januar 2014 http://www.oracle.com/technetwork/topics/security/cpujan2014-1972949.html

Patch:

Red Hat Security Advisory RHSA-2014-0030

http://rhn.redhat.com/errata/RHSA-2014-0030.html

Patch:

Download von Java Updates

http://www.oracle.com/technetwork/java/javase/downloads/index.html

CVE-2014-0417: Schwachstelle in JavaSE 2D

In der JavaSE-Komponente 2D ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0385: Schwachstelle in JavaSE Install

In dem Java-Modul Install ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über HTTP das System oder den
Dienst zu übernehmen.

Die Schwachstelle kann nur während der Clientinstallation auf Mac OS X
ausgenutzt werden.

CVE-2014-0382: Schwachstelle in JavaFX

In dem JavaFX-Framework ermöglicht es diese Schwachstelle einem entfernten,
nicht authentifizierten Angreifer, über verschiedene Protokolle einen
Denial-of-Service-Zustand für das System oder den Dienst hervorzurufen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5902 CVE-2013-5904 CVE-2014-0418 CVE-2014-0424: Mehrere
Schwachstellen in JavaSE Deployment

In dem Java-Modul Deployment ermöglichen es mehrere Schwachstellen einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
durch die Anwendung zugängliche Daten zu lesen, zu verändern oder zu löschen
und zumindest teilweise einen Denial-of-Service-Zustand zu bewirken.

Die Schwachstellen können nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5899: Schwachstelle in JavaSE Deployment

In dem Java-Modul Deployment ermöglicht eine Schwachstellen einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
durch die Anwendung zugängliche Daten zu lesen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5898 CVE-2014-0375 CVE-2014-0403: Mehrere Schwachstellen in JavaSE
Deployment

Die Schwachstellen können nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5895: Schwachstelle in JavaFX

In dem JavaFX-Framework ermöglicht es diese Schwachstelle einem entfernten,
nicht authentifizierten Angreifer, über verschiedene Protokolle die durch
die Anwendung zugänglichen Daten zu lesen.

Die Schwachstelle kann bei Client- und Serverinstallationen, durch die
Sandbox geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt
werden.

CVE-2013-5889 CVE-2014-0387 CVE-2014-0410 CVE-2014-0415: Mehrere
Schwachstellen in JavaSE Deployment

In dem Java-Modul Deployment ermöglichen es diese Schwachstellen einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu übernehmen.

Die Schwachstellen können nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5888: Schwachstelle in JavaSE Deployment

In dem Java-Modul Deployment ermöglicht eine Schwachstellen es einem
lokalen, nicht authentifizierten Angreifer, über verschiedene Protokolle
durch die Anwendung zugängliche Daten zu lesen, zu verändern oder zu löschen
bzw. einen Denial-of-Service-Zustand zu bewirken.

Die Schwachstelle kann nur bei Clientinstallationen für die GNOME-Umgebung
auf Linux- bzw. Solaris-Systemen ausgenutzt werden.

CVE-2013-5887: Schwachstelle in JavaSE Deployment

In dem Java-Modul Deployment ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über HTTP die Anwendung in
einen Denial-of-Service-Zustand zu versetzen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5870: Schwachstelle in JavaFX

In dem JavaFX-Framework ermöglicht es diese Schwachstelle einem entfernten,
nicht authentifizierten Angreifer, über verschiedene Protokolle das System
oder den Dienst zu manipulieren. Insbesondere kann der Angreifer durch die
Anwendung zugängliche Daten lesen, verändern oder löschen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0428: Schwachstelle in JavaSE CORBA

In der JavaSE-Komponente CORBA ermöglicht es diese Schwachstelle bei der
Durchsetzung von Zugriffsbeschränkungen einem entfernten, nicht
authentifizierten Angreifer, über verschiedene Protokolle das System oder
den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0423: Schwachstelle in JavaSE Beans

In der JavaSE-Komponente Beans ermöglicht es diese Schwachstelle einem
entfernten Angreifer, über verschiedene Protokolle auf Daten zuzugreifen,
die von der Anwendung verarbeitet werden, oder einen Denial-of-Service zu
verursachen.

Die Schwachstelle kann bei Client- und Serverinstallationen, durch die
Sandbox geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt
werden.

CVE-2014-0422: Schwachstelle in JavaSE JNDI

Im Java Naming and Directory Interface (JNDI) ermöglicht es diese
Schwachstelle bei der Durchsetzung von Zugriffsbeschränkungen einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0416: Schwachstelle in JavaSE JAAS

In der JavaSE-Komponente JAAS ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu manipulieren. Insbesondere kann der Angreifer
durch die Anwendung zugängliche Daten lesen, verändern oder löschen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0411: Schwachstelle in JavaSE JSSE

In der JavaSE-Komponente JSSE ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über SSL/TLS das System oder
den Dienst zu manipulieren. Insbesondere kann der Angreifer durch die
Anwendung zugängliche Daten lesen, verändern oder löschen.

Die Schwachstelle kann bei Client- und Serverinstallationen ausgenutzt
werden.

CVE-2014-0376: Schwachstelle in JavaSE JAXP

In der Java API für die XML-Verarbeitung (JAXP) ermöglicht es diese
Schwachstelle einem entfernten, nicht authentifizierten Angreifer, über
verschiedene Protokolle das System oder den Dienst zu manipulieren.
Insbesondere kann der Angreifer durch die Anwendung zugängliche Daten lesen,
verändern oder löschen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0373: Schwachstelle in JavaSE Serviceability

In der JavaSE-Komponente Serviceability ermöglicht es diese Schwachstelle
einem entfernten, nicht authentifizierten Angreifer, über verschiedene
Protokolle das System oder den Dienst zu manipulieren. Insbesondere kann der
Angreifer durch die Anwendung zugängliche Daten lesen, verändern oder
löschen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0368: Schwachstelle in JavaSE Networking

In der JavaSE-Komponente Networking ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
die durch die Anwendung zugänglichen Daten zu lesen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5907: Schwachstellen in JavaSE 2D

In der JavaSE-Komponente 2D ermöglicht es eine fehlerhafte Eingabeprüfung
einem entfernten, nicht authentifizierten Angreifer, über verschiedene
Protokolle das System oder den Dienst zu übernehmen und unter Umständen, die
Beschränkungen der Java-Sandbox zu umgehen

Die Schwachstelle kann bei Client- und Serverinstallationen, durch die
Sandbox geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt
werden.

CVE-2013-5896: Schwachstelle in JavaSE CORBA

In der JavaSE-Komponente CORBA ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zum Absturz zu bringen und einen
Denial-of-Service zu verursachen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5884: Schwachstelle in JavaSE CORBA

In der JavaSE-Komponente CORBA ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
auf Daten zuzugreifen, die durch das System oder den Dienst verarbeitet
werden.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5878: Schwachstelle in JavaSE Security

In der JavaSE-Komponente Security ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu manipulieren. Insbesondere kann der Angreifer
durch die Anwendung zugängliche Daten lesen, verändern oder löschen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5905: Schwachstelle in JavaSE Install

In dem Java-Modul Install ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über HTTP durch die Anwendung
zugängliche Daten zu lesen, zu verändern oder zu löschen. und zumindest
teilweise einen Denial-of-Service-Zustand zu bewirken.

Die Schwachstelle kann nur während der Clientinstallation ausgenutzt werden.

CVE-2013-5906: Schwachstelle in JavaSE Install

Die Schwachstelle kann nur während der Clientinstallation ausgenutzt werden.

CVE-2014-0408: Schwachstelle in JavaSE Hotspot

In der JavaSE-Komponente Hotspot ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5910: Schwachstelle in JavaSE Security

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5893: Schwachstelle in JavaSE Libraries

In der JavaSE-Komponente Libraries ermöglicht es diese Schwachstelle bei
der Durchsetzung von Zugriffsbeschränkungen einem entfernten, nicht
authentifizierten Angreifer, über verschiedene Protokolle das System oder
den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0045/

Oracle Advisory für Januar 2014:
http://www.oracle.com/technetwork/topics/security/cpujan2014-1972949.html

Red Hat Security Advisory RHSA-2014-0030:
http://rhn.redhat.com/errata/RHSA-2014-0030.html

Schwachstelle CVE-2013-5907 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5907

Schwachstelle CVE-2014-0417 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0417

Schwachstelle CVE-2014-0423 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0423

Schwachstelle CVE-2013-5896 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5896

Schwachstelle CVE-2013-5884 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5884

Schwachstelle CVE-2014-0428 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0428

Schwachstelle CVE-2014-0373 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0373