DFN-CERT-2014-0087 Redhat Enterprise Virtualization: Mehrere Schwachstellen ermöglichen das Darstellen falscher Informationen [Linux][RedHat]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache Software Foundation Axis <= 1.4 Apache Hadoop Betroffene Plattformen: Redhat Enterprise Virtualization Mehrere Schwachstellen in Apache Axis ermöglichen es einem entfernten, nicht authentifizierten Angreifer einen Man-in-the-Middle Angriff auszuführen. Patch: Red Hat Security Advisory RHSA-2014-0037 http://rhn.redhat.com/errata/RHSA-2014-0037.html

CVE-2012-5784: Schwachstelle in Apache Axis

Eine Schwachstelle im Apache Axis 1.4 und früher versäumt es, den Hostnamen
eines Servers mit dem angegebenen Domain-Namen aus dem ‘Common Name’ (CN)
des X.509-Zertifikats zu vergleichen.
Einem entfernten Angreifer ist es mittels eines beliebigen, aber gültigen
Zertifikats möglich, einen Man-in-Middle Angriff durchzuführen.

CVE-2013-2192: Schwachstelle in Apache Hadoop

Eine Schwachstelle in dem Hadoop RPC Protokoll führt dazu, dass die
bidirektionale Authentifizierung zwischen Client und Server auf eine
erzwungene unidirektionale Authentifizierung umgestellt werden kann. Von
dieser Schwachstelle sind nur Benutzer betroffen, die das Kerberos
Sicherheitsfeature aktiviert haben.
Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
einen Man-in-the-Middle Angriff durchführen und eine schwächere
Authentifizierung erzwingen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0087/

Schwachstelle CVE-2012-5784 (Red Hat):
https://access.redhat.com/security/cve/CVE-2012-5784

Schwachstelle CVE-2012-5784 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-5784

Schwachstelle CVE-2013-2192 (Red Hat):
https://access.redhat.com/security/cve/CVE-2013-2192

Red Hat Security Advisory RHSA-2014-0037:
http://rhn.redhat.com/errata/RHSA-2014-0037.html

Schwachstelle CVE-2013-2192 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2192