Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache Software Foundation Tomcat >= 7.0.0
Apache Software Foundation Tomcat < 7.0.81 Betroffene Plattformen: Apple Mac OS X macOS Sierra GNU/Linux Microsoft Windows Zwei Schwachstellen in Apache Tomcat ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes und das Ausspähen von Informationen. Die Apache Software Foundation veröffentlicht Informationen zu den Schwachstellen. Als Sicherheitsupdate steht die Version 7.0.81 zur Verfügung. Patch: Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 7.0.81 http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81

CVE-2017-12616: Schwachstelle in Apache Tomcat ermöglicht Ausspähen von
Informationen

Eine Schwachstelle in Apache Tomcat Version 7.0.0 bis 7.0.80 basiert auf
einem nicht näher beschrieben Fehler im Kontext der Benutzung von
‘VirtualDirContext’, wodurch ein entfernter, nicht authentisierter Angreifer
mit speziell präparierten Anfragen Sicherheitsvorkehrungen umgehen und/oder
den Quellcode von JSPs für Ressourcen ansehen kann, die durch
‘VirtualDirContext’ bereitgestellt werden. Ein entfernter, nicht
authentisierter Angreifer kann Informationen ausspähen.

CVE-2017-12615: Schwachstelle in Apache Tomcat ermöglicht Ausführen
beliebigen Programmcodes

Eine Schwachstelle in Apache Tomcat Version 7.0.0 bis 7.0.79 basiert auf
einem nicht näher beschrieben Fehler im Kontext der erlaubten Benutzung von
‘HTTP PUT’ auf Windows-Systemen, wodurch einem entfernten, nicht
authentisierten Angreifer das Hochladen beliebiger JSP-Dateien auf das
Server-System mit speziell präparierten Anfragen ermöglicht wird. Diese
JSP-Dateien können anschließend angefragt werden, wodurch der enthaltene
Code durch das Server-System zur Ausführung gebracht wird. Ein entfernter,
nicht authentisierter Angreifer kann beliebigen Programmcode ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1665/

Apache Security Advisory: Apache Tomcat Vulnerabilities fixed in 7.0.81:
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81

Schwachstelle CVE-2017-12615 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12615

Schwachstelle CVE-2017-12616 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12616

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.