UPDATE: DFN-CERT-2014-0050 OpenJDK: Mehrere Schwachstellen ermöglichen das Erlangen von Administratorrechten [Linux][RedHat]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (28.01.2014):
Red Hat stellt aktualisierte java-1.6.0-openjdk Pakete für Red Hat
Enterprise Linux 5 und 6 zur Verfügung, um zahlreiche Schwachstellen mit
hoher Sicherheitsrelevanz zu beheben. Diese Pakete beinhalten das OpenJDK
6 Java Runtime Environment und das OpenJDK 6 Java Software Development
Kit.
Version 1 (15.01.2014):
Neues Advisory

Betroffene Software:

OpenJDK 1.7.0
Red Hat Enterprise Linux <= 5 Client/Java-1.6.0-Openjdk Red Hat Enterprise Linux <= 5 Server/Java-1.6.0-Openjdk Red Hat Enterprise Linux <= 6 Client/Java-1.6.0-Openjdk Red Hat Enterprise Linux <= 6 Computenode/Java-1.6.0-Openjdk Red Hat Enterprise Linux <= 6 Server/Java-1.6.0-Openjdk Red Hat Enterprise Linux <= 6 Workstation/Java-1.6.0-Openjdk Betroffene Plattformen: Red Hat Enterprise Linux 5 Server Red Hat Enterprise Linux 6 Computenode Red Hat Enterprise Linux 6 Server Red Hat Enterprise Linux 6 Workstation Red Hat Enterprise Linux 6.5 RedHat Enterprise Linux Desktop 5 Client RedHat Enterprise Linux Desktop 6.0 RedHat Enterprise Linux HPC Node 6 Redhat Enterprise Linux Server Supplementary 6.5.Z Die durch das Update geschlossenen Schwachstellen erlauben zahlreiche Angriffe mit verschiedenen Auswirkungen. Fehlerhafte Eingabeprüfungen erlauben es unter Umständen, die Beschränkungen der Java-Sandbox zu umgehen. In verschiedenen Komponenten wurden unzureichende Überprüfungen der Privilegien und Restriktionen korrigiert, wodurch es auch möglich ist, die Beschränkungen der Java-Sandbox ganz oder teilweise zu umgehen. Bei der Verarbeitung von externen XML-Objekten kann es dazu kommen, dass die Anwendung abstürzt oder sensitive Informationen zugänglich gemacht werden. Kritische Informationen über verwendete kryptographische Schlüssel können auch bei dem TLS/SSL-Handshake durch Angreifer herausgefunden werden, die dieses Wissen für weitere Angriffe nutzen können. Patch: Red Hat Security Advisory RHSA-2014-0026 http://rhn.redhat.com/errata/RHSA-2014-0026.html

Patch:

Red Hat Security Advisory RHSA-2014-0027

http://rhn.redhat.com/errata/RHSA-2014-0027.html

Patch:

Red Hat Security Advisory RHSA-2014-0097

http://rhn.redhat.com/errata/RHSA-2014-0097.html

CVE-2013-5893: Schwachstelle in JavaSE Libraries

In der JavaSE-Komponente Libraries ermöglicht es diese Schwachstelle bei
der Durchsetzung von Zugriffsbeschränkungen über die Verwendung
verschiedener Protokolle das System oder den Dienst zu übernehmen. Die
Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5910: Schwachstelle in JavaSE Security

Eine Schwachstelle in der JavaSE Security führt dazu, dass unzureichende
Sicherheitsprüfungen durchgeführt werden, wodurch Schreib- und Lesezugriffe
auf Dateien im Kontext des Java Prozesses möglich sind.

CVE-2014-0428: Schwachstelle in JavaSE CORBA

In der JavaSE-Komponente CORBA ermöglicht es diese Schwachstelle bei der
Durchsetzung von Zugriffsbeschränkungen einem entfernten, nicht
authentifizierten Angreifer, über verschiedene Protokolle das System oder
den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0423: Schwachstelle in JavaSE Beans

In der JavaSE-Komponente Beans ermöglicht es diese Schwachstelle einem
entfernten Angreifer, über verschiedene Protokolle auf Daten zuzugreifen,
die von der Anwendung verarbeitet werden, oder einen Denial-of-Service zu
verursachen.

Die Schwachstelle kann bei Client- und Serverinstallationen, durch die
Sandbox geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt
werden.

CVE-2014-0422: Schwachstelle in JavaSE JNDI

Im Java Naming and Directory Interface (JNDI) ermöglicht es diese
Schwachstelle bei der Durchsetzung von Zugriffsbeschränkungen einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu übernehmen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0416: Schwachstelle in JavaSE JAAS

In der JavaSE-Komponente JAAS ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über verschiedene Protokolle
das System oder den Dienst zu manipulieren. Insbesondere kann der Angreifer
durch die Anwendung zugängliche Daten lesen, verändern oder löschen.

Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0411: Schwachstelle in JavaSE JSSE

In der JavaSE-Komponente JSSE ermöglicht es diese Schwachstelle einem
entfernten, nicht authentifizierten Angreifer, über SSL/TLS das System oder
den Dienst zu manipulieren. Insbesondere kann der Angreifer durch die
Anwendung zugängliche Daten lesen, verändern oder löschen.

Die Schwachstelle kann bei Client- und Serverinstallationen ausgenutzt
werden.

CVE-2014-0376: Schwachstelle in JavaSE JAXP

In JAX-WS, der Java API für XML Web Services, werden durch eine
Schwachstelle unzureichende Sicherheitsprüfungen durchgeführt, wodurch
Schreib- und Lesezugriffe auf Dateien im Kontext des Java Prozesses möglich
sind. Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0373: Schwachstelle in JavaSE Serviceability

In der JavaSE-Komponente Serviceability ermöglicht es diese Schwachstelle,
über die Verwendung verschiedener Protokolle durch die Anwendung zugängliche
Daten zu lesen, zu verändern oder zu löschen. Die Schwachstelle kann nur bei
Clientinstallationen, durch die Sandbox geschützten Java-Applets oder
WebStart-Anwendungen ausgenutzt werden.

CVE-2014-0368: Schwachstelle in JavaSE Networking

In der JavaSE-Komponente Networking ermöglicht es eine Schwachstelle, über
die Verwendung verschiedener Protokolle, die durch die Anwendung
zugänglichen Daten zu lesen. Die Schwachstelle kann nur bei
Clientinstallationen, durch die Sandbox geschützten Java-Applets oder
WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5907: Schwachstellen in JavaSE 2D

In der JavaSE-Komponente 2D ermöglicht es eine fehlerhafte Eingabeprüfung,
über die Verwendung verschiedener Protokolle das System oder den Dienst zu
übernehmen und unter Umständen, die Beschränkungen der Java-Sandbox zu
umgehen. Die Schwachstelle kann bei Client- und Serverinstallationen, durch
die Sandbox geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt
werden.

CVE-2013-5896: Schwachstelle in JavaSE CORBA

In der JavaSE-Komponente CORBA ermöglicht es diese Schwachstelle, über die
Verwendung verschiedener Protokolle das System oder den Dienst zum Absturz
zu bringen. Die Schwachstelle kann nur bei Clientinstallationen, durch die
Sandbox geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt
werden.

CVE-2013-5884: Schwachstelle in JavaSE CORBA

Eine Schwachstelle in der JavaSE-Komponente CORBA führt dazu, dass durch
nicht näher beschriebene Aktionen mit verschiedenen Protokollen, lesender
Zugriff auf Dateien im Kontext des Java Prozesses möglich ist. Die
Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

CVE-2013-5878: Schwachstelle in JavaSE Security

Eine Schwachstelle in der JavaSE Security führt dazu, dass durch nicht näher
beschriebene Aktionen unter Verwendung verschiedener Protokolle, Schreib-
und Lesezugriffe auf Dateien im Kontext des Java Prozesses möglich sind.
Die Schwachstelle kann nur bei Clientinstallationen, durch die Sandbox
geschützten Java-Applets oder WebStart-Anwendungen ausgenutzt werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0050/

Schwachstelle CVE-2013-5907 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5907

Schwachstelle CVE-2014-0423 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0423

Schwachstelle CVE-2014-0428 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0428

Schwachstelle CVE-2013-5896 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5896

Schwachstelle CVE-2013-5884 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5884

Schwachstelle CVE-2014-0373 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0373

Schwachstelle CVE-2013-5878 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5878

Schwachstelle CVE-2013-5910 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5910

Schwachstelle CVE-2014-0368 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0368

Schwachstelle CVE-2013-5893 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5893