Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM WebSphere Application Server >= 7.0.0.0
IBM WebSphere Application Server <= 7.0.0.41 IBM WebSphere Application Server >= 8.0.0.0
IBM WebSphere Application Server <= 8.0.0.13 IBM WebSphere Application Server >= 8.5.0.0
IBM WebSphere Application Server <= 8.5.5.11 IBM WebSphere Application Server >= 9.0.0.0
IBM WebSphere Application Server <= 9.0.0.2 Betroffene Plattformen: GNU/Linux HP-UX family of operating systems IBM AIX Microsoft Windows Oracle Solaris Ein entfernter, nicht authentifizierter Angreifer kann eine Schwachstelle in der IBM HTTP Server (powered by Apache) Komponente des IBM WebSphere Application Servers ausnutzen, um Sicherheitsvorkehrungen zu umgehen. IBM informiert über die Schwachstelle und stellt den Interim Fix PI73984 zur Behebung der Schwachstelle bereit. Darüber hinaus werden verschiedene Fix Packs angekündigt, um die Schwachstelle zu beheben: Fix Pack 9.0.0.3 soll am 14.03.2017 veröffentlicht werden, Fix Pack 8.5.5.12 am 04.08.2017, Fix Pack 8.0.0.14 im vierten Quartal 2017 und Fix Pack 7.0.0.43 am 24.04.2017. Patch: IBM Security Bulletin swg21996847 http://www-01.ibm.com/support/docview.wss?uid=swg21996847

CVE-2016-8743: Schwachstelle in Apache HTTP-Server (httpd) ermöglicht
Umgehen von Sicherheitsvorkehrungen

Durch die unzureichende Umsetzung von RFC7230 im Umgang mit Leerzeichen und
durch Interpretation verschiedener Steuerzeichen als Leerzeichen
(Whitespace) besteht eine Schwachstelle in Apache HTTP-Server bei der
Interaktion mit einer Proxy-Kette oder einem Backend-Server über ‘mod_proxy’
oder konventionellen CGI-Mechanismen. Ein entfernter, nicht authentisierter
Angreifer kann die Schwachstelle ausnutzen und mit speziell präparierten
Anfrage-Kopfdaten (Request-Header) verschiedene Antworten von einem Server
hinter einem Proxy-Agent erzeugen, wodurch der Proxy-Cache verunreinigt wird
(Cache Poisoning) oder Inhalte umgelenkt werden können.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0189/

Schwachstelle CVE-2016-8743 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8743

IBM Security Bulletin swg21996847:
http://www-01.ibm.com/support/docview.wss?uid=swg21996847

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.