Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
IBM Security Access Manager >= 9.0.3.0
IBM Security Access Manager < 9.0.4.0
Betroffene Plattformen:
IBM Security Access Manager Appliance
Mehrere Schwachstellen in OpenSSH betreffen auch IBM Security Access Manager
Appliances. Ein entfernter, einfach authentifizierter Angreifer kann eine
der Schwachstellen ausnutzen, um beliebigen Programmcode zur Ausführung zu
bringen. Zwei weitere Schwachstellen ermöglichen einem entfernten Angreifer
ohne Authentisierung die Durchführung eines Denial-of-Service (DoS)-Angriffs
auf das Gesamtsystem und das Ausspähen von Benutzernamen.
IBM bestätigt die Schwachstellen für IBM Security Access Manager Appliances
mit Softwareversion 9.0.3.0 bis 9.0.3.1 und stellt Version 9.0.4.0 (APAR
IJ01544) als Sicherheitsupdate bereit.
Patch:
IBM Security Bulletin 2012324
http://www-01.ibm.com/support/docview.wss?uid=swg22012324
CVE-2016-10009: Schwachstelle in OpenSSH ermöglicht Ausführung beliebigen
Programmcodes
In OpenSSH werden PKCS#11-Module aus nicht vertrauenswürdigen Quellen
geladen. Anfragen zum Nachladen solcher Module werden über ‘Agent
Forwarding’ weitergereicht, so dass ein entfernter, einfach
authentifizierter Angreifer über diesen Kanal solche Module nachladen kann.
Da diese Module geteilte Bibliotheken (shared Libraries) sind, ist die
Ausführung beliebigen Programmcodes auf dem System mit dem SSH-Agenten
möglich.
CVE-2016-6515: Schwachstelle in OpenSSH ermöglicht Denial-of-Service-Angriff
Durch eine Schwachstelle in der Systemfunktion ‘crypt’ in OpenSSH kann die
CPU bei der Verarbeitung langer Passwörter, welche über ‘sshd’ gesandt
werden, stark belastet werden. Ein entfernter, nicht authentifizierter
Angreifer kann einen Denial-of-Service-Zustand (DoS) erzeugen.
CVE-2016-6210: Schwachstelle in OpenSSH ermöglicht Ausspähen von
Informationen
Falls ein nicht existierender Benutzer mit SSHD authentifiziert werden soll,
greift der Dienst auf eine fest in den Programmcode eingearbeitete,
inszenierte Passwortstruktur (Fake Password) zurück, für die der Streuwert
(Hash) auf dem ‘BLOWFISH’-Algorithmus beruht. Dies führt beim Senden langer
Passwörter während des Authentifizierungsvorgangs zu verkürzten
Antwortzeiten im Vergleich zu den Antwortzeiten real existierender Benutzer,
die SHA256 oder SHA512 verwenden. Ein entfernter, nicht authentifizierter
Angreifer kann durch das Senden langer Passwörter die Benutzer eines Systems
abzählen und Benutzernamen erraten.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0046/
Schwachstelle CVE-2016-6210 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6210
Schwachstelle CVE-2016-6515 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6515
Schwachstelle CVE-2016-10009 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-10009
IBM Security Bulletin 2012324:
http://www-01.ibm.com/support/docview.wss?uid=swg22012324
IBM PSIRT Blog: IBM Security Access Manager Appliance is affected by OpenSSH
vulnerabilities:
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-ibm-security-access-manager-appliance-is-affected-by-openssh-vulnerabilities/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
