DFN-CERT-2014-0452 Red Hat JBoss Fuse: Mehrere Schwachstellen ermöglichen verschiedene Angriffe [Linux][RedHat]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

RedHat JBoss Fuse <= 6.0.0 Betroffene Plattformen: Red Hat Linux Mehrere Schwachstellen im Spring Framework sowie weiteren Bibliotheken, welche als Bestandteil von Red Hat JBoss Fuse verwendet werden, erlauben einem entfernten, nicht authentisierten Angreifer Cross-Site-Request-Forgery (CSRF), Cross-Site-Scripting (XSS) und Denial-of-Service-Angriffe durchzuführen. Andere Schwachstellen erlauben lokalen Angreifern, ihre Privilegien auszuweiten und sogar beliebigen Java Code auszuführen. Patch: Red Hat Security Advisory RHSA-2014-0400 http://rhn.redhat.com/errata/RHSA-2014-0400.html

CVE-2014-0085: Schwachstelle in Apache Zookeeper

Eine Schwachstelle besteht in der Art und Weise wie Apache Zookeeper das
Passwort eines Administrators in den Logfiles ablegt, nämlich im Klartext.
Ein lokaler Benutzer mit Zugang zu diesen Logfiles kann als Angreifer die
offengelegte sensitive Information ausnutzen, um administrative Rechte für
eine Applikation zu erlangen, welche Apache Zookeeper verwendet.

CVE-2014-1904: Spring: Schwachstelle ermöglicht Cross-Site-Scripting

In der Datei ‘web/servlet/tags/form/FormTag.java’ der Java-Bibliothek Spring
wird bei im Formular nicht angegebener ‘action’ automatisch die angefragte
URI ungefiltert als Standard-‘action’ verwendet. Dies ermöglicht einem
entfernten, nicht authentifizierten Angreifer beliebige HTML- und
Script-Befehle im Kontext eines anderen Anwenders zur Ausführung zu bringen.

CVE-2014-0054: Spring: Schwachstelle ermöglicht Ausspähen von vertraulichen
Informationen

Der Jaxb2RootElementHttpMessageConverter der Java-Bibliothek Spring
verbietet bei der Verarbeitung von benutzerdefinierten XML-Eingaben weder
sogenannte XML External Entities, noch stellt er eine Option zur Verfügung,
eine Verarbeitung zu deaktivieren. Dies ermöglicht einem entfernten, nicht
authentifizierten Angreifer Zugriff auf vertrauliche Daten zu erlangen.
Diese Schwachstelle ist auf die nicht hinreichend behobenen Schwachstellen
CVE-2013-4152 und CVE-2013-6429 zurückzuführen.

CVE-2013-4517: Schwachstelle in Apache Santuario XML-Security für Java
erlaubt Java XML Signature DoS

Eine Schwachstelle in der Apache Santuario XML-Security für Java vor Version
1.5.6 kann ausgenutzt werden, wenn sogenannte “Transforms” angewendet
werden. Ein entfernter, nicht authentisierter Angreifer kann mit Hilfe von
speziell gestalteten Dokumententyp-Definitionen (DTDs) diese Schwachstelle
sogar dann ausnutzen, wenn sichere Validierung mittels Signaturen verwendet
wird, um einen Denial-of-Service-Zustand herbeizuführen.

CVE-2013-6430: Schwachstelle in Spring Framework (libspring-java Package)

Eine Schwachstelle in dem Spring Framework (libspring-java Package):
org.spring.web.util.JavaScriptUtils.javaScriptEscape besteht in einem
teilweise fehlerhaften, unzureichenden “Escaping” von bestimmten sensitiven
Zeichen. In den meisten Fällen führt dieses lediglich zu einem nicht
ausnutzbaren Fehler beim Parsen der Eingabe, aber in bestimmten Fällen
erlaubt diese Schwachstelle einem entfernten, nicht authentifizierten
Angreifer Cross-Site-Scripting (XSS)-Angriffe durchzuführen.

CVE-2013-6429: Schwachstelle im Spring Framework (libspring-java Package)

Eine Schwachstelle wurde in der Funktion SourceHttpMessageConverter in
Spring MVC im Spring Framework (libspring-java Package) festgestellt. Diese
Schwachstelle erlaubt XML External Entity (XXE)-Injektion und kann von einem
entfernten, nicht authentifizierten Angreifer ausgenutzt werden, um
Cross-Site-Request-Forgery-Angriffe durchzuführen und Dateien zu lesen.

CVE-2014-0050: Schwachstelle in Apache Commons FileUpload ermöglicht DoS

Apache Commons FileUpload verarbeitet bestimmte MultipartStreams nicht
fehlerfrei, falls der verwendete Puffer zu klein ist. Dies ermöglicht einem
entfernten, nicht authentifizierten Angreifer durch das Senden eines
präparierten MultipartStreams, dessen Puffergröße nicht ausreichend ist, den
Webserver in eine Endlosschleife zu versetzen und somit einen
Denial-of-Service-Zustand auszulösen.

CVE-2013-2192: Schwachstelle in Apache Hadoop

Eine Schwachstelle in dem Hadoop RPC Protokoll führt dazu, dass die
bidirektionale Authentifizierung zwischen Client und Server auf eine
erzwungene unidirektionale Authentifizierung umgestellt werden kann. Von
dieser Schwachstelle sind nur Benutzer betroffen, die das Kerberos
Sicherheitsfeature aktiviert haben.
Ein entfernter, nicht authentifizierter Angreifer kann durch diese
Schwachstelle einen Man-in-the-Middle-Angriff durchführen und eine
schwächere Authentifizierung erzwingen.

CVE-2013-4152: Schwachstelle im Spring Framework (libspring-java Package)

Eine Schwachstelle im Spring Framework (libspring-java Package) ermöglicht
XML External Entity (XXE)-Injektion. Dies kann von einem entfernten, nicht
authentifizierten Angreifer ausgenutzt werden, um Cross-Site-Request-Forgery
und Denial-of-Service-Attacken durchzuführen.

CVE-2013-2035: Racecondition Schwachstelle in HawtJNI von JBoss WS

Durch eine Racecondition in HawtJNI Versionen vor 1.8 kann ein lokaler
Angreifer seine Privilegien erweitern und beliebigen Java Code ausführen.
Unter bestimmten Voraussetzungen schreibt die HawtJNI Library Class
zugehörige Native Libraries in das Verzeichnis /tmp/ mit einem
vorhersagbaren Dateinamen.
Dadurch kann ein lokaler Angreifer in dem Zeitfenster zwischen Schreiben und
Ausführen die Native Libraries überschreiben und mit eigenen, schädlichen
Versionen ersetzen.

CVE-2013-2172: Bibliothek Apache Santuario XML Security unterstützt
unsicheren Signatur-Algorithmus

In der Bibliothek Apache Santuario XML Security existiert eine
Schwachstelle. Der Parameter CanonicalizationMethod ermöglicht es, einen
unsicheren Algorithmus für den SignedInfo-Teil der Signatur anzugeben. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um eine XML-Signatur zu fälschen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0452/

Schwachstelle CVE-2013-2035 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2035

Schwachstelle CVE-2013-2192 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2192

Schwachstelle CVE-2013-4152 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4152

Schwachstelle CVE-2013-6429 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6429

Schwachstelle CVE-2014-0050 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0050

Schwachstelle CVE-2013-6430 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6430

Schwachstelle CVE-2014-1904 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1904

Schwachstelle CVE-2014-0054 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0054

Red Hat Security Advisory RHSA-2014-0400:
http://rhn.redhat.com/errata/RHSA-2014-0400.html

Schwachstelle CVE-2014-0085 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0085