DFN-CERT-2017-0903 IBM Security Access Manager, IBM Tivoli Access Manager for e-business: Zwei Schwachstellen ermöglichen das Ausspähen von Informationen und die Manipulation von Dateien [Netzwerk]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM Security Access Manager >= 9.0
IBM Security Access Manager <= 9.0.2.0 IBM Security Access Manager for Mobile >= 8.0.0.0
IBM Security Access Manager for Mobile <= 8.0.1.5 IBM Security Access Manager for Web 7.0 IBM Security Access Manager for Web >= 8.0.0.0
IBM Security Access Manager for Web <= 8.0.1.5 IBM Tivoli Access Manager for e-business 6.0 IBM Tivoli Access Manager for e-business 6.1 IBM Tivoli Access Manager for e-business 6.1.1 Betroffene Plattformen: IBM Tivoli Directory Server IBM WebSphere Application Server IBM Security Access Manager Appliance 9.0 IBM Security Access Manager for Mobile Appliance 8.0 IBM Security Access Manager for Web Appliance 7.0 IBM Security Access Manager for Web Appliance 8.0 Zwei Schwachstellen im IBM SDK Java Technology Edition, Versionen 7 und 8 sowie im IBM Runtime Environment Java Versionen 7 und 8 betreffen auch IBM Tivoli Access Manager for e-business und IBM Security Access Manager for Web Version 7 bzw. in Java Version 8 auch IBM Security Access Manager Versionen 8 und 9 Appliances und ermöglichen einem entfernten, nicht authentifizierten Angreifer unter anderem das Ausspähen von Informationen und die Manipulation von Dateien. IBM informiert über die als Teil der IBM Java SDK Updates im Oktober 2016 veröffentlichten Schwachstellen und stellt für IBM Tivoli Access Manager for e-business 6.0, 6.1, 6.1.1 und IBM Security Access Manager for Web 7.0 (software) den Fix IV93304 sowie Interim Fixes bereit. Für IBM Security Access Manager for Web Version 8 stehen der Fix IV93201 und die Version 8.0.1.6, für IBM Security Access Manager for Mobile Version 8 der Fix IV93262 und die Version 8.0.1.6 sowie für IBM Security Access Manager Version 9 der Fix IV93201 und Version 9.0.3.0 als Sicherheitsupdates zur Verfügung. Patch: IBM Security Bulletin 2002445 http://www-01.ibm.com/support/docview.wss?uid=swg22002445

Patch:

IBM Security Bulletin 2002446

http://www-01.ibm.com/support/docview.wss?uid=swg22002446

CVE-2016-5597: Schwachstelle in Java SE und Java SE Embedded ermöglicht
Ausspähen von Informationen

Eine nicht näher spezifizierte, schwer auszunutzende Schwachstelle in Java
SE und Java SE Embedded (Subkomponente Networking) ermöglicht einem
entfernten, nicht authentifizierten Angreifer über verschiedene
Netzwerkprotokolle den unautorisierten Zugriff auf kritische Daten oder den
Zugriff auf alle von Java SE und Java SE Embedded erreichbaren Daten.

CVE-2016-5554: Schwachstelle in Java SE und Java SE Embedded ermöglicht
Manipulation von Dateien

Eine nicht näher spezifizierte, einfach auszunutzende Schwachstelle in Java
SE und Java SE Embedded (Subkomponente JMX) ermöglicht einem entfernten,
nicht authentifizierten Angreifer über verschiedene Netzwerkprotokolle die
Manipulation einiger der von Java SE und Java SE Embedded erreichbaren
Daten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0903/

Schwachstelle CVE-2016-5554 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5554

Schwachstelle CVE-2016-5597 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5597

IBM Security Bulletin 2002445:
http://www-01.ibm.com/support/docview.wss?uid=swg22002445

IBM Security Bulletin 2002446:
http://www-01.ibm.com/support/docview.wss?uid=swg22002446

IBM PSIRT Blog: Multiple vulnerabilities in IBM Java SDK and IBM Java Runtime
affect IBM Security Access Manager (CVE-2016-5597, CVE-2016-5554):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-multiple-vulnerabilities-in-ibm-java-sdk-and-ibm-java-runtime-affect-ibm-security-access-manager-cve-2016-5597-cve-2016-5554/

IBM PSIRT Blog: Multiple vulnerabilities in IBM Java SDK and IBM Java Runtime
affect IBM Tivoli Access Manager for e-business and IBM Security Access
Manager for Web (CVE-2016-5597, CVE-2016-5554):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-multiple-vulnerabilities-in-ibm-java-sdk-and-ibm-java-runtime-affect-ibm-tivoli-access-manager-for-e-business-and-ibm-security-access-manager-for-web-cve-2016-5597-cve-2016-55/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.