Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Oracle Java SE <= 6u105 Oracle Java SE <= 7u91 Oracle Java SE <= 8u66 Oracle Java SE Embedded <= 8u65 Oracle JRockit <= R28.3.8 Betroffene Plattformen: Apple Mac OS X GNU/Linux Microsoft Windows Oracle Solaris Mehrere Schwachstellen in verschiedenen Subkomponenten von Oracle Java SE, Java SE Embedded und JRockit ermöglichen einem nicht authentifizierten, entfernten Angreifer unerlaubt Lesezugriff auf Daten zu erlangen, unautorisiert Schreibzugriffe auf Dateien zu erlangen, partielle Denial-of-Service (DoS)-Zustände auszulösen oder das betroffene Betriebssytem zu übernehmen und somit auch beliebigen Programmcode auszuführen. Fünf der aufgeführten Schwachstellen betreffen ausschließlich Client Installationen, die Schwachstellen CVE-2016-0483, CVE-2016-0475, CVE-2016-0466 und CVE-2015-7575 betreffen Client und Server Installationen. Patch: Oracle Critical Patch Update Advisory - Januar 2016 (CPUJan2016) http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html
CVE-2016-0494: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Erlangen von Administratorrechten
Eine leicht auszunutzende Schwachstelle in der Subkomponente 2D von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66 und Java SE Embedded 8u65
ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert das Betriebssystem zu übernehmen und
somit auch beliebigen Programmcode auszuführen. Diese Schwachstelle betrifft
ausschließlich Client Installationen von Java und kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2016-0483: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht das Erlangen von Administratorrechten
Eine leicht auszunutzende Schwachstelle in der Subkomponente AWT von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66, Java SE Embedded 8u65 und JRockit
R28.3.8 ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert das Betriebssystem zu übernehmen und
somit auch beliebigen Programmcode auszuführen. Diese Schwachstelle betrifft
Client und Server Installationen von Java und kann über Sandboxed Java Web
Start Anwendungen und Sandboxed Java Applets ausgenutzt werden, aber auch
ohne diese durch Datenübermittlung an APIs in der spezifischen Komponente,
z.B. durch einen Web Service.
CVE-2016-0475: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht Ausspähen von Informationen und Manipulation von Dateien
Eine schwer auszunutzende Schwachstelle in der Subkomponente Libraries von
Oracle Java SE 6u105, Java SE 7u91, Java SE 8u66, Java SE Embedded 8u65 und
JRockit R28.3.8 ermöglicht einem entfernten, nicht authentifizierten
Angreifer über verschiedene Protokolle unautorisiert einige über Java SE,
Java SE Embedded und JRockit zugreifbare Daten einzufügen, zu verändern oder
zu löschen und eine Untermenge der über Java SE, Java SE Embedded und
JRockit zugreifbaren Daten zu lesen. Diese Schwachstelle betrifft Client und
Server Installationen von Java und kann über Sandboxed Java Web Start
Anwendungen und Sandboxed Java Applets ausgenutzt werden, aber auch ohne
diese durch Datenübermittlung an APIs in der spezifischen Komponente, z.B.
durch einen Web Service.
CVE-2016-0466: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht Denial-of-Service-Angriff
Eine leicht auszunutzende Schwachstelle in der Subkomponente JAXP von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66, Java SE Embedded 8u65 und JRockit
R28.3.8 ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert einen partiellen Denial-of-Service
(DoS)-Zustand zu verursachen. Diese Schwachstelle betrifft Client und Server
Installationen von Java und kann über Sandboxed Java Web Start Anwendungen
und Sandboxed Java Applets ausgenutzt werden, aber auch ohne diese durch
Datenübermittlung an APIs in der spezifischen Komponente, z.B. durch einen
Web Service.
CVE-2016-0448: Schwachstelle in Java SE und Java SE Embedded ermöglicht
Ausspähen von Informationen
Eine leicht auszunutzende Schwachstelle in der Subkomponente JMX von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66 und Java SE Embedded 8u65
ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert eine Untermenge der über Java SE und
Java SE Embedded zugreifbaren Daten zu lesen. Diese Schwachstelle betrifft
ausschließlich Client Installationen von Java und kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2016-0402: Schwachstelle in Java SE und Java SE Embedded ermöglicht
Manipulation von Dateien
Eine leicht auszunutzende Schwachstelle in der Subkomponente Networking von
Oracle Java SE 6u105, Java SE 7u91, Java SE 8u66 und Java SE Embedded 8u65
ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert einige über Java SE und Java SE
Embedded zugreifbare Daten einzufügen, zu verändern oder zu löschen. Diese
Schwachstelle betrifft ausschließlich Client Installationen von Java und
kann nur über Sandboxed Java Web Start Anwendungen und Sandboxed Java
Applets ausgenutzt werden.
CVE-2015-7575: Schwachstelle in Network Security Services ermöglicht das
Umgehen von Sicherheitsvorkehrungen
Eine Schwachstelle in den Network Security Services (NSS) basiert auf der
Akzeptanz von MD5 als Hash-Algorithmus für Server-Signaturen innerhalb von
TLS 1.2 ServerKeyExchange Nachrichten. NSS hat MD5 eigentlich seit dem Jahr
2011 offiziell verboten, nur umgesetzt wurde es nicht vollständig. Damit
werden NSS-basierte Client-Anwendungen wie z.B. Firefox anfällig für
Fälschungsangriffe, die durch Kollisionen verursacht sind.
CVE-2015-8472: Schwachstellen in libpng erlauben Denial-of-Service-Angriffe
Mehrere Pufferüberlauf-Schwachstellen existierten in den Funktionen (1)
‘png_set_PLTE’ und (2) ‘png_get_PLTE’ in libpng bevor 1.0.64, 1.1.x und
1.2.x bevor 1.2.54, 1.3.x und 1.4.x bevor 1.4.17, 1.5.x bevor 1.5.24 und
1.6.x bevor 1.6.19 und der Subkomponente AWT von Oracle Java SE 6u105, 7u91
und 8u66 sowie Java SE Embedded 8u65. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstellen ausnutzen, um einen Absturz der
Anwendung (Denial-of-Service) zu verursachen oder möglicherweise weitere
Angriffe durchzuführen. Dieser CVE Identifier wurde zusätzlich zu
CVE-2015-8126 vergeben. Diese Schwachstellen betreffen ausschließlich Client
Installationen von Java und können nur über Sandboxed Java Web Start
Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2015-8126: Schwachstellen in libpng erlauben Denial-of-Service-Angriffe
Mehrere Pufferüberlauf-Schwachstellen existieren in den Funktionen (1)
‘png_set_PLTE’ und (2) ‘png_get_PLTE’ in libpng bevor 1.0.64, 1.1.x und
1.2.x bevor 1.2.54, 1.3.x und 1.4.x bevor 1.4.17, 1.5.x bevor 1.5.24 und
1.6.x bevor 1.6.19 und der Subkomponente AWT von Oracle Java SE 6u105, 7u91
und 8u66 sowie Java SE Embedded 8u65. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstellen ausnutzen, mittels eines kleinen
‘bit-depth’-Wertes in einem IHDR (aka image header) Chunk in einer
PNG-Bilddatei, um einen Absturz der Anwendung (Denial-of-Service) zu
verursachen oder möglicherweise weitere Angriffe durchzuführen. Diese
Schwachstellen betreffen ausschließlich Client Installationen von Java und
können nur über Sandboxed Java Web Start Anwendungen und Sandboxed Java
Applets ausgenutzt werden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0100/
Schwachstelle CVE-2015-8126 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8126
Schwachstelle CVE-2015-8472 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8472
Schwachstelle CVE-2015-7575 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7575
Oracle Critical Patch Update Advisory – Januar 2016 (CPUJan2016):
http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html
Schwachstelle CVE-2016-0402 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0402
Schwachstelle CVE-2016-0448 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0448
Schwachstelle CVE-2016-0466 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0466
Schwachstelle CVE-2016-0475 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0475
Schwachstelle CVE-2016-0483 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0483
Schwachstelle CVE-2016-0494 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0494
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
