Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
IBM Domino <= 8.5.3 FP6IF11 IBM Domino <= 9.0.1 FP5IF1 IBM Notes Client <= 8.5.3 FP6IF8 IBM Notes Client <= 9.0.1 FP5IF1 Betroffene Plattformen: GNU/Linux IBM AIX Microsoft Windows Mehrere Schwachstellen in dem von IBM Domino und IBM Notes Client verwendeten IBM Java SDK Version 6 SR16FP15 ermöglichen einem zumeist entfernten, nicht authentifizierten Angreifer das Durchführen eines Denial-of-.Service (DoS)-Angriffs, das Ausspähen von Informationen, das Manipulieren von Daten und Umgehen von Sicherheitsvorkehrungen sowie das Ausführen beliebigen Programmcodes und damit eine komplette Kompromittierung des Systems. IBM stellt JVM Patches für Notes und Domino 8.5.3.6 + Interim Fixes sowie 9.0.1.5 + Interim Fixes bereit. Patch: IBM Security Advisory swg21976200 https://www-304.ibm.com/support/docview.wss?uid=swg21976200
Patch:
IBM Security Advisory swg21976262
http://www-01.ibm.com/support/docview.wss?uid=swg21976262
CVE-2015-5041: Schwachstelle in IBM JDK erlaubt Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in der J9 JVM im IBM JDK ermöglicht, dass Programmcode
nicht öffentliche Schnittstellenmethoden (‘non-public interface methods’)
aufruft. Ein entfernter, nicht authentisierter Angreifer kann diese
Schwachstelle ausnutzen, mittels entsprechend präparierten Programmcodes, um
eine beabsichtigte Sicherheitsvorkehrung zu umgehen.
CVE-2016-0494: Schwachstelle in Java SE und Java SE Embedded ermöglicht das
Erlangen von Administratorrechten
Eine leicht auszunutzende Schwachstelle in der Subkomponente 2D von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66 und Java SE Embedded 8u65
ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert das Betriebssystem zu übernehmen und
somit auch beliebigen Programmcode auszuführen. Diese Schwachstelle betrifft
ausschließlich Client Installationen von Java und kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2016-0483: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht das Erlangen von Administratorrechten
Eine leicht auszunutzende Schwachstelle in der Subkomponente AWT von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66, Java SE Embedded 8u65 und JRockit
R28.3.8 ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert das Betriebssystem zu übernehmen und
somit auch beliebigen Programmcode auszuführen. Diese Schwachstelle betrifft
Client und Server Installationen von Java und kann über Sandboxed Java Web
Start Anwendungen und Sandboxed Java Applets ausgenutzt werden, aber auch
ohne diese durch Datenübermittlung an APIs in der spezifischen Komponente,
z.B. durch einen Web Service.
CVE-2016-0475: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht Ausspähen von Informationen und Manipulation von Dateien
Eine schwer auszunutzende Schwachstelle in der Subkomponente Libraries von
Oracle Java SE 6u105, Java SE 7u91, Java SE 8u66, Java SE Embedded 8u65 und
JRockit R28.3.8 ermöglicht einem entfernten, nicht authentifizierten
Angreifer über verschiedene Protokolle unautorisiert einige über Java SE,
Java SE Embedded und JRockit zugreifbare Daten einzufügen, zu verändern oder
zu löschen und eine Untermenge der über Java SE, Java SE Embedded und
JRockit zugreifbaren Daten zu lesen. Diese Schwachstelle betrifft Client und
Server Installationen von Java und kann über Sandboxed Java Web Start
Anwendungen und Sandboxed Java Applets ausgenutzt werden, aber auch ohne
diese durch Datenübermittlung an APIs in der spezifischen Komponente, z.B.
durch einen Web Service.
CVE-2016-0466: Schwachstelle in Java SE, Java SE Embedded und JRockit
ermöglicht Denial-of-Service-Angriff
Eine leicht auszunutzende Schwachstelle in der Subkomponente JAXP von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66, Java SE Embedded 8u65 und JRockit
R28.3.8 ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert einen partiellen Denial-of-Service
(DoS)-Zustand zu verursachen. Diese Schwachstelle betrifft Client und Server
Installationen von Java und kann über Sandboxed Java Web Start Anwendungen
und Sandboxed Java Applets ausgenutzt werden, aber auch ohne diese durch
Datenübermittlung an APIs in der spezifischen Komponente, z.B. durch einen
Web Service.
CVE-2016-0448: Schwachstelle in Java SE und Java SE Embedded ermöglicht
Ausspähen von Informationen
Eine leicht auszunutzende Schwachstelle in der Subkomponente JMX von Oracle
Java SE 6u105, Java SE 7u91, Java SE 8u66 und Java SE Embedded 8u65
ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert eine Untermenge der über Java SE und
Java SE Embedded zugreifbaren Daten zu lesen. Diese Schwachstelle betrifft
ausschließlich Client Installationen von Java und kann nur über Sandboxed
Java Web Start Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2016-0402: Schwachstelle in Java SE und Java SE Embedded ermöglicht
Manipulation von Dateien
Eine leicht auszunutzende Schwachstelle in der Subkomponente Networking von
Oracle Java SE 6u105, Java SE 7u91, Java SE 8u66 und Java SE Embedded 8u65
ermöglicht einem entfernten, nicht authentifizierten Angreifer über
verschiedene Protokolle unautorisiert einige über Java SE und Java SE
Embedded zugreifbare Daten einzufügen, zu verändern oder zu löschen. Diese
Schwachstelle betrifft ausschließlich Client Installationen von Java und
kann nur über Sandboxed Java Web Start Anwendungen und Sandboxed Java
Applets ausgenutzt werden.
CVE-2015-7575: Schwachstelle in Network Security Services ermöglicht das
Umgehen von Sicherheitsvorkehrungen
Eine Schwachstelle in den Network Security Services (NSS) basiert auf der
Akzeptanz von MD5 als Hash-Algorithmus für Server-Signaturen innerhalb von
TLS 1.2 ServerKeyExchange Nachrichten. NSS hat MD5 eigentlich seit dem Jahr
2011 offiziell verboten, nur umgesetzt wurde es nicht vollständig. Damit
werden NSS-basierte Client-Anwendungen wie z.B. Firefox anfällig für
Fälschungsangriffe, die durch Kollisionen verursacht sind.
Ein entfernter, nicht authentisierter Angreifer kann Sicherheitsvorkehrungen
umgehen.
CVE-2015-8540: Schwachstelle in libpng ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle in png_check_keyword() in pngwutil.c in libpng basiert
auf einem Lesen außerhalb von Speichergrenzen. Wenn die Daten des ‘key’ nur
aus dem Leerzeichen (ASCII 0x20) bestehen, dann wird ein Byte vor dem Beginn
des Puffers gelesen. Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle mittels eines speziell präparierten PNG-Bildes
ausnutzen, um einen Denial-of-Service-Angriff durchzuführen.
CVE-2015-8472: Schwachstellen in libpng erlauben Denial-of-Service-Angriffe
Mehrere Pufferüberlauf-Schwachstellen existierten in den Funktionen (1)
‘png_set_PLTE’ und (2) ‘png_get_PLTE’ in libpng bevor 1.0.64, 1.1.x und
1.2.x bevor 1.2.54, 1.3.x und 1.4.x bevor 1.4.17, 1.5.x bevor 1.5.24 und
1.6.x bevor 1.6.19 und der Subkomponente AWT von Oracle Java SE 6u105, 7u91
und 8u66 sowie Java SE Embedded 8u65. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstellen ausnutzen, um einen Absturz der
Anwendung (Denial-of-Service) zu verursachen oder möglicherweise weitere
Angriffe durchzuführen. Dieser CVE Identifier wurde zusätzlich zu
CVE-2015-8126 vergeben. Diese Schwachstellen betreffen ausschließlich Client
Installationen von Java und können nur über Sandboxed Java Web Start
Anwendungen und Sandboxed Java Applets ausgenutzt werden.
CVE-2015-8126: Schwachstellen in libpng erlauben Denial-of-Service-Angriffe
Mehrere Pufferüberlauf-Schwachstellen existieren in den Funktionen (1)
‘png_set_PLTE’ und (2) ‘png_get_PLTE’ in libpng bevor 1.0.64, 1.1.x und
1.2.x bevor 1.2.54, 1.3.x und 1.4.x bevor 1.4.17, 1.5.x bevor 1.5.24 und
1.6.x bevor 1.6.19 und der Subkomponente AWT von Oracle Java SE 6u105, 7u91
und 8u66 sowie Java SE Embedded 8u65. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstellen ausnutzen, mittels eines kleinen
‘bit-depth’-Wertes in einem IHDR (aka image header) Chunk in einer
PNG-Bilddatei, um einen Absturz der Anwendung (Denial-of-Service) zu
verursachen oder möglicherweise weitere Angriffe durchzuführen. Diese
Schwachstellen betreffen ausschließlich Client Installationen von Java und
können nur über Sandboxed Java Web Start Anwendungen und Sandboxed Java
Applets ausgenutzt werden.
CVE-2015-7981: Schwachstelle in libpng erlaubt Ausspähen von Informationen
In der Funktion ‘png_convert_to_rfc1123()’ in png.c existiert eine
Schwachstelle, die bei der Transformation von Bildern zu einem Lesen über
Speicherbegrenzungen hinaus führt (“out-of-bounds read”). Ein entfernter,
einfach authentisierter Benutzer, als Angreifer, kann diese Schwachstelle
ausnutzen, mittels einer schädlichen, präparierten Bilddatei im
‘png’-Format, um durch Offenlegung von Speicherinhalten einer Anwendung
potentiell sensible Informationen auszuspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0267/
Schwachstelle CVE-2015-7981 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7981
Schwachstelle CVE-2015-8126 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8126
Schwachstelle CVE-2015-8472 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8472
Schwachstelle CVE-2015-8540 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8540
Schwachstelle CVE-2015-7575 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7575
Schwachstelle CVE-2016-0402 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0402
Schwachstelle CVE-2016-0448 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0448
Schwachstelle CVE-2016-0466 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0466
Schwachstelle CVE-2016-0475 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0475
Schwachstelle CVE-2016-0483 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0483
Schwachstelle CVE-2016-0494 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0494
Schwachstelle CVE-2015-5041 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5041
IBM Security Advisory swg21976200:
https://www-304.ibm.com/support/docview.wss?uid=swg21976200
IBM Security Advisory swg21976262:
http://www-01.ibm.com/support/docview.wss?uid=swg21976262
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
