Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM WebSphere Application Server >= 7.0.0.0
IBM WebSphere Application Server < 7.0.0.43 IBM WebSphere Application Server >= 8.0.0.0
IBM WebSphere Application Server < 8.0.0.13 IBM WebSphere Application Server >= 8.5.0.0
IBM WebSphere Application Server < 8.5.5.10 IBM WebSphere Application Server >= 9.0.0.0
IBM WebSphere Application Server < 9.0.0.1 IBM WebSphere Application Server < 16.0.0.3 Betroffene Plattformen: GNU/Linux HP-UX family of operating systems IBM AIX Microsoft Windows Oracle Solaris Ein entfernter, einfach authentifizierter Angreifer kann die Schwachstelle ausnutzen, um Sicherheitsvorkehrungen zu umgehen und in der Folge unautorisiert Daten zu lesen. IBM stellt die folgenden Sicherheitsupdates zur Verfügung: Für Liberty: Interim Fix PI60026 oder Fix Pack 16.0.0.3 oder später (geplante Verfügbarkeit 16.09.2016). Für Version 9.0.0.0: Interim Fix PI6002 oder Fix Pack 9.0.0.1 oder später (geplante Verfügbarkeit 16.09.2016). Für Version 8.5.0.0 bis 8.5.5.9: Interim Fix PI60026 oder Fix Pack 8.5.5.10 oder später. Für Version 8.0.0.0 bis 8.0.0.12: Interim Fix PI60026 oder Fix Pack 8.0.0.13 oder später (geplante Verfügbarkeit 24.10.2016). Für Version 7.0.0.0 bis 7.0.0.41: Interim Fix PI60026 oder Fix Pack 7.0.0.43 oder später (geplante Verfügbarkeit Q2 2017). Patch: IBM Security Bulletin swg21982588 http://www-01.ibm.com/support/docview.wss?uid=swg21982588

CVE-2016-0385: Schwachstelle in IBM WebSphere Application Server ermöglicht
Umgehen von Sicherheitsvorkehrungen

Im IBM WebSphere Application Server (WAS) 7.0 vor Version 7.0.0.43, 8.0 vor
Version 8.0.0.13, 8.5 vor Version 8.5.5.10, 9.0 vor Version 9.0.0.1 sowie
Liberty vor Version 16.0.0.3 existiert eine Schwachstelle, die auf einem
Pufferüberlauf beruht. Diese Schwachstelle tritt nur auf, wenn in der
Umgebung die Webcontainer-Eigenschaft ‘HttpSessionIdReuse’ aktiviert ist.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1427/

IBM Security Bulletin swg21982588:
http://www-01.ibm.com/support/docview.wss?uid=swg21982588

Schwachstelle CVE-2016-0385 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0385

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.