Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
OpenJDK 1.7.0
OpenJDK 1.8.0
Betroffene Plattformen:
Red Hat Enterprise Linux Desktop 5 Client
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux Server 5
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server 6.6.z EUS
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation 7
Mehrere Schwachstellen in OpenJDK ermöglichen einem zumeist entfernten,
nicht authentisierten Angreifer die Durchführung von
Man-in-the-Middle-Attacken und Denial-of-Service-Angriffen, das Ausspähen
von Informationen, das Manipulieren von Dateien und das Ausführen beliebigen
Programmcodes.
Für verschiedene Red Hat Enterprise Linux 6 und 7 Produkte stehen
Sicherheitsupdates in Form der aktualisierten Pakete java-1.7.0-openjdk und
java-1.8.0-openjdk zur Verfügung, die jeweils das Java Runtime Environment
und das Java Software Development Kit umfassen.
Für Red Hat Enterprise Linux 5 (Server und Desktop (Client)) stehen
Sicherheitsupdates für OpenJDK 7 bereit.
Die Schwachstellen CVE-2015-2659 und CVE-2015-3149 betreffen nur die Version
8 für Red Hat Enterprise Linux 6 und 7.
Patch:
Red Hat Security Advisory RHSA-2015-1228
http://rhn.redhat.com/errata/RHSA-2015-1228.html
Patch:
Red Hat Security Advisory RHSA-2015-1229
http://rhn.redhat.com/errata/RHSA-2015-1229.html
Patch:
Red Hat Security Advisory RHSA-2015-1230
http://rhn.redhat.com/errata/RHSA-2015-1230.html
CVE-2015-3149: Schwachstelle in OpenJDK 8 erlaubt unsicheres Erzeugen
temporärer Dateien
Eine Schwachstelle besteht in OpenJDK 8 aufgrund einer Regression der
Schwachstelle CVE-2015-0383. Diese betrifft die Hotspot-Komponente von
Oracle Java SE, SE Embedded und JRockit. Bei der Erstellung von Performance
Statistiken und Error Logs nutzt die Hotspot-Komponente von Oracle Java SE,
SE Embedded und JRockit diverse temporäre Dateien auf unsichere Art und
Weise, z.B. ‘hsperfdata’. Ein lokaler, nicht authentifizierter Angreifer
kann dies mit einer Symlink-Attacke ausnutzen und einen Benutzer, der Java
verwendet, dazu zu verleiten, beliebige Dateien zu überschreiben.
CVE-2015-4760: Schwachstelle in Java SE ermöglicht das Ausführen beliebigen
Programmcodes
Eine leicht ausnutzbare Schwachstelle in der Subkomponente 2D von Oracle
Java SE ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle, unautorisiert das Betriebssystem zu übernehmen und
somit auch beliebigen Programmcode auszuführen. Dies betrifft ausschließlich
Client Installationen von Java. Diese Schwachstelle kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2015-4749: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht einen Denial-of-Service-Angriff
Eine schwer ausnutzbare Schwachstelle in der Subkomponente JNDI von Oracle
Java SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, einen partiellen
Denial-of-Service-Zustand von Java SE, Java SE Embedded oder JRockit
auszulösen. Dies betrifft sowohl Client als auch Server Installationen von
Java. Diese Schwachstelle kann über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden. Sie kann jedoch auch durch
Übermittlung von Daten an APIs in der betroffenen Subkomponente JNDI
ausgenutzt werden, wie z.B. einem Webdienst.
CVE-2015-4748: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht das Ausführen beliebigen Programmcodes
Eine sehr schwer ausnutzbare Schwachstelle in der Subkomponente Security von
Oracle Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über OCSP, unautorisiert das Betriebssystem zu
übernehmen und somit auch beliebigen Programmcode auszuführen. Dies betrifft
sowohl Client als auch Server Installationen von Java. Diese Schwachstelle
kann über Sandboxed Java Web Start Anwendungen und Sandboxed Java Applets
ausgenutzt werden. Sie kann jedoch auch durch Übermittlung von Daten an APIs
in der betroffenen Subkomponente Security ausgenutzt werden, wie z.B. einem
Webdienst.
CVE-2015-4733: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes
Eine leicht ausnutzbare Schwachstelle in der Subkomponente RMI von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.
CVE-2015-4732: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes
Eine leicht ausnutzbare Schwachstelle in der Subkomponente Libraries von
Oracle Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.
CVE-2015-4731: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes
Eine leicht ausnutzbare Schwachstelle in der Subkomponente JMX von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.
CVE-2015-2659: Schwachstelle in Java SE und Java SE Embedded ermöglicht
einen Denial-of-Service-Angriff
Eine leicht ausnutzbare Schwachstelle in der Subkomponente Security von
Oracle Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, einen partiellen
Denial-of Service-Zustand von Java SE oder Java SE Embedded auszulösen. Dies
betrifft sowohl Client als auch Server Installationen von Java. Diese
Schwachstelle kann über Sandboxed Java Web Start Anwendungen und Sandboxed
Java Applets ausgenutzt werden. Sie kann jedoch auch durch Übermittlung von
Daten an APIs in der betroffenen Subkomponente Security ausgenutzt werden,
wie z.B. einem Webdienst.
CVE-2015-2632: Schwachstelle in Java SE ermöglicht das Ausspähen von
Informationen
Eine leicht ausnutzbare Schwachstelle in der Subkomponente 2D von Oracle
Java SE ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle, unautorisiert Lesezugriff auf ein Subset von Daten
zu erhalten, die für Java SE zugänglich sind. Dies betrifft ausschließlich
Client Installationen von Java. Diese Schwachstelle kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2015-2628: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes
Eine leicht ausnutzbare Schwachstelle in der Subkomponente CORBA von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.
CVE-2015-2625: Schwachstelle in Java SE, Java SE Emdedded und JRockit
ermöglicht das Ausspähen von Informationen
Eine sehr schwer ausnutzbare Schwachstelle in der Subkomponente JSSE von
Oracle Java SE, Java SE Emdedded und JRockit ermöglicht einem entfernten,
nicht authentifizierten Angreifer über das SSL/TLS Protokoll, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE, Java SE
Emdedded oder JRockit zugänglich sind. Dies betrifft sowohl Client als auch
Server Installationen von Java.
CVE-2015-2621: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausspähen von Informationen
Eine leicht ausnutzbare Schwachstelle in der Subkomponente JMX von Oracle
Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE oder Java
SE Embedded zugänglich sind. Dies betrifft ausschließlich Client
Installationen von Java. Diese Schwachstelle kann nur über Sandboxed Java
Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2015-2601: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht das Ausspähen von Informationen
Eine leicht ausnutzbare Schwachstelle in der Subkomponente 2D von Oracle
Java SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert
Lesezugriff auf ein Subset von Daten zu erhalten, die für Java SE, Java SE
Embedded oder JRockit zugänglich sind. Dies betrifft ausschließlich Client
Installationen von Java. Diese Schwachstelle kann über Sandboxed Java Web
Start Anwendungen und Sandboxed Java Applets ausgenutzt werden. Sie kann
jedoch auch durch Übermittlung von Daten an APIs in der betroffenen
Subkomponente JCE ausgenutzt werden, wie z.B. einem Webdienst.
CVE-2015-2590: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Ausführen beliebigen Programmcodes
Eine leicht ausnutzbare Schwachstelle in der Subkomponente Libraries von
Oracle Java SE und Java SE Embedded ermöglicht einem entfernten, nicht
authentifizierten Angreifer über verschiedene Protokolle, unautorisiert das
Betriebssystem zu übernehmen und somit auch beliebigen Programmcode
auszuführen. Dies betrifft ausschließlich Client Installationen von Java.
Diese Schwachstelle kann nur über Sandboxed Java Web Start Anwendungen und
Sandboxed Java Applets ausgenutzt werden.
CVE-2015-4000: TLS: Eine Schwachstelle ermöglicht Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle im Handshake des TLS-Protokolls Version 1.2 und früher
führt dazu, dass bei der Aushandlung der zu verwendenden
Diffie-Hellman-Verschlüsselung (DHE) ein Teil der Kommunikation nicht
signiert stattfindet. Der Client sendet zuerst eine Liste mit Vorschlägen
von Algorithmen, die für die Verschlüsselung verwendet werden können, an den
Server und dieser wählt einen Algorithmus aus der Liste aus. Die Verbindung
ist zu dem Zeitpunkt, zu dem der Client die Liste sendet, noch nicht
signiert. Durch einen Man-in-the-Middle-Angriff kann die Liste so verändert
werden, dass aus einem “ClientHello DHE” ein “ClientHello DHE_EXPORT” wird
und der Server eine DHE 512 Bit-Gruppe auswählt. Der Angreifer modifiziert
die Serverantwort entsprechend von “ServerHello DHE_EXPORT” zu “ServerHello
DHE”. Der Client bietet eine unsichere 512-Bit Gruppe im normalen Modus
nicht von sich aus an, akzeptiert diese aber, wenn sie vom Server
vorgeschlagen wird. Voraussetzung ist, dass auf dem Server der EXPORT-Modus
(DHE_EXPORT) aktiviert ist. Viele Server im Internet unterstützen für den
EXPORT-Modus die gleichen Gruppen, wodurch es möglich wird, einen Großteil
der für den Angriff notwendigen Berechnungen vorab zu erledigen.
Die Schwachstelle ist unter dem Namen Logjam bekannt.
CVE-2015-2808: Schwachstelle in der TLS/SSL-Protokoll-Implementierung
Der RC4-Algorithmus, wie er im TLS-Protokoll und SSL-Protokoll verwendet
wird, kombiniert während der Initialisierungsphase Statusdaten nicht korrekt
mit Schlüsseldaten. Ein entfernter, nicht authentifizierter Angreifer kann
durch Ausnutzen dieser Schwachstelle leichter den Klartext der initialen
Bytes eines Streams ermitteln, indem er den Netzwerkverkehr belauscht, der
gelegentlich auf Schlüsseln beruht, die von dieser Invarianzschwäche
betroffen sind, um in der Folge einen Brute-Force-Angriff unter Verwendung
von LSB-Werten gegen die Verschlüsselung durchzuführen (“Bar
Mitzvah”-Problem) und dadurch Informationen auszuspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1078/
Schwachstelle CVE-2015-2808 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2808
Schwachstelle CVE-2015-4000 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4000
Red Hat Security Advisory RHSA-2015-1228:
http://rhn.redhat.com/errata/RHSA-2015-1228.html
Red Hat Security Advisory RHSA-2015-1229:
http://rhn.redhat.com/errata/RHSA-2015-1229.html
Red Hat Security Advisory RHSA-2015-1230:
http://rhn.redhat.com/errata/RHSA-2015-1230.html
Schwachstelle CVE-2015-2590 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2590
Schwachstelle CVE-2015-2601 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2601
Schwachstelle CVE-2015-2621 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2621
Schwachstelle CVE-2015-2625 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2625
Schwachstelle CVE-2015-2628 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2628
Schwachstelle CVE-2015-2632 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2632
Schwachstelle CVE-2015-2659 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2659
Schwachstelle CVE-2015-4731 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4731
Schwachstelle CVE-2015-4732 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4732
Schwachstelle CVE-2015-4733 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4733
Schwachstelle CVE-2015-4748 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4748
Schwachstelle CVE-2015-4749 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4749
Schwachstelle CVE-2015-4760 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4760
Schwachstelle CVE-2015-3149 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3149
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
