DFN-CERT-2014-1017 JBoss Enterprise Application Platform: Mehrere Schwachstellen ermöglichen u.a. das Ausführen beliebigen Programmcodes [Linux][RedHat]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

RedHat JBoss Enterprise Application Platform < 6.3.0 Betroffene Plattformen: RedHat JBoss Enterprise Application Platform Red Hat Enterprise Linux 5 Red Hat Enterprise Linux 6 Durch mehrere Schwachstellen kann ein entfernter, nicht authentifizierter Angreifer Denial-of-Service-Angriffe durch- oder beliebigen Programmcode ausführen. Durch eine der Schwachstellen kann ein entfernter, authentifizierter Angreifer Sicherheitsvorkehrungen umgehen. Das Security Advisory RHSA-2014:1021-1 benennt im Gegensatz zu den anderen Herstellerinformationen zusätzlich die Schwachstelle CVE-2014-0221. Patch: Red Hat Security Advisory RHSA-2014:1019 http://rhn.redhat.com/errata/RHSA-2014-1019.html

Patch:

Red Hat Security Advisory RHSA-2014:1020

http://rhn.redhat.com/errata/RHSA-2014-1020.html

Patch:

Red Hat Security Advisory RHSA-2014:1021

http://rhn.redhat.com/errata/RHSA-2014-1021.html

CVE-2014-3472: Schwachstelle in JBoss Enterprise Application Platform
ermöglicht das Umgehen von Sicherheitsvorkehrungen

Die “isCallerInRole()” Methode des SimpleSecurityManager überprüft die
Rollen, die der Aufrufer der Methode besitzt, nicht korrekt. Ein entfernter,
authentifizierter Angreifer kann die Schwachstelle nutzen, um
Sicherheitsvorkehrungen in Anwendungen zu umgehen, die eine
Zugriffskontrolle über Blacklisten einsetzen.

CVE-2014-0193: Schwachstelle im WebSocket08FrameDecoder

Eine Schwachstelle im WebSocket08FrameDecoder ermöglicht einem entfernten,
nicht authentisierten Angreifer, indem er eine Serie von
“TextWebSocketFrames” und “ContinuationWebSocketFrames” veröffentlicht, eine
“Out-Of-Memory-Exception” auszulösen. Abhängig von der Serverkonfiguration
kann er dadurch einen Denial-of-Service-Zustand herbeiführen.

CVE-2014-0231: Schwachstelle in “mod_cgid” erlaubt Denial-of-Service

Eine Schwachstelle besteht in “mod_cgid”, wenn ein Server “mod_cgid”
gehostede CGI-Skripte verwendet, welche keine Standardeingaben verarbeiten.
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um den Kind-Prozess zum Hängen zu bringen, d. h. einen
Denial-of-Service-Zustand zu verursachen.

CVE-2014-0226: Race-Condition-Schwachstelle in “mod_status”

Eine Race-Condition wurde in “mod_status” gefunden. Ein entfernter, nicht
authentisierter Angreifer, der in der Lage ist, eine öffentliche Statusseite
eines Servers aufzurufen, welcher verkettete Multi-Processing-Module (MPM)
verwendet, kann diese Schwachstelle ausnutzen, indem er einen speziell
präparierten Request sendet, um einen Überlauf des Heap-Speichers zu
verursachen (“heap buffer overflow”). In der Folge kann ein
Denial-of-Service-Zustand entstehen, die Ausführung von beliebigem
Programmcode oder das Ausspähen von Informationen möglich werden. Anmerkung:
Normalerweise sollten Serverstatusseiten nicht öffentlich erreichbar gemacht
werden.

CVE-2014-0118: Schwachstelle in “mod_deflate” erlaubt Denial-of-Service

Eine Schwachstelle in “mod_deflate” führt zum Verbrauch von Ressourcen. Wenn
“request body decompression” konfiguriert ist, unter Verwendung des
“DEFLATE”-Eingabefilters, kann diese Schwachstelle von einem entfernten,
nicht authentisierten Angreifer ausgenutzt werden, um den Server dazu zu
bringen, signifikant Speicher und/oder Prozessor (CPU)-Ressourcen zu
verbrauchen. Die Verwendung von “request body decompression” ist keine
übliche Konfiguration.

CVE-2014-0221: Schwachstelle in OpenSSL erlaubt Denial-of-Service

Eine Schwachstelle in OpenSSL besteht in einer fehlerhaften Behandlung von
DTLS-Rekursionen. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, um OpenSSL zum Absturz zu bringen, d. h. einen
Denial-of-Service-Angriff durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1017/

Schwachstelle CVE-2014-0193 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0193

Schwachstelle CVE-2014-0221 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0221

Schwachstelle CVE-2014-0118 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0118

Schwachstelle CVE-2014-0226 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0226

Schwachstelle CVE-2014-0231 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0231

Red Hat Security Advisory RHSA-2014:1019:
http://rhn.redhat.com/errata/RHSA-2014-1019.html

Red Hat Security Advisory RHSA-2014:1020:
http://rhn.redhat.com/errata/RHSA-2014-1020.html

Red Hat Security Advisory RHSA-2014:1021:
http://rhn.redhat.com/errata/RHSA-2014-1021.html

Schwachstelle CVE-2014-3472 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3472