—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes SuSE Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
CVE-2011-0802 / CVE-2011-0814 – Schwachstelle in Java
In der Sound-Komponente von Oracle Java existieren zwei nicht naeher
beschriebene Schwachstellen, welche von entfernten Angreifern mittels
praeparierter Java Web Start Applikationen oder Java Applets ausgenutzt
werden koennen, aber auch durch praeparierte Daten, welche an
entsprechende APIs beispielsweise mithilfe eines Webservices gesendet
werden.
CVE-2011-0871 – Schwachstelle in Java
Bei der Implementierung des MediaTrackers werden Instanzen von
“Component” mit zu vielen Privilegien erzeugt. Einem entfernten
Angreifer ist es damit moeglich, hoehere Privilegien zu erlangen, durch
die Nutzung eines nicht vertrauenswuerdigen Applets oder eine Anwendung
die Swing nutzt.
CVE-2011-0872 – Schwachstelle in Java
In der Implementierung des NIO-Codes der Java Runtime Engine (JRE) fuer
Windows wurde eine Schwachstelle gefunden. Diese ermoeglicht einem
Angreifer, dass nicht-blockierende Sockets mit der TCP-Option “Urgent
Disabled” faelschlicherweise zum Lesen ausgewaehlt werden.
CVE-2011-0867 – Schwachstelle in Java
Bei der Implementierung der NetworkInterface-Klasse kommt es zu einer
Preisgabe von Informationen. Ein Angreifer kann mittels eines nicht
vertrauenswuerdigen Applets oder Anwendung auf diese Weise auf
Informationen ueber Netzwerk-Interfaces zugreifen, obwohl dies
privilegiertem Code vorbehalten sein sollte.
CVE-2011-0865 – Schwachstelle in Java
Es existiert eine Schwachstelle bei der Art, wie signierte Objekte
de-serialisiert werden. Dies kann ein Angreifer ausnutzen, falls sowohl
vertrauenswuerdiger, als auch nicht vertrauenswuerdiger Code in der
gleichen JVM laufen und beide das gleiche signierte Objekt
de-serialisieren. Dann ist es dem Angreifer moeglich, mit dem nicht
vertrauenswuerdigen Code, dass Objekt zu aendern und somit die
Gueltigkeitspruefung fuer signierte Objekte zu umgehen.
CVE-2011-0786 / CVE-2011-0788 – Schwachstelle in der Java Runtime
Environment
In der Java Runtime Environment besteht eine nicht naeher beschriebene
Schwachstelle, die von entfernten Angreifern mittels praeparierter Java
Web Start Applikationen oder Java Applets ausgenutzt werden kann.
CVE-2011-0873 – Schwachstelle in Java
In der Java2D-Komponente existiert eine nicht naeher beschriebene
Schwachstelle.
CVE-2011-0866 – Schwachstelle in der Java Runtime Environment
In der Java Runtime Environment besteht eine nicht naeher beschriebene
Schwachstelle, welche von entfernten Angreifern mittels praeparierter
Java Web Start Applikationen oder Java Applets ausgenutzt werden kann.
CVE-2011-0862 / CVE-2011-0822 – Schwachstelle in Java
In Java2D besteht eine Schwachstelle bei der Verarbeitung von
JPEG-Bildern mit benutzerdefinierten Schriften. Ein Angreifer kann diese
Schwachstelle ausnutzen, um beliebigen Code mit den Rechten des
Anwenders auszufuehren, falls dieser ein nicht vertrauenswuerdiges
Applet oder eine nicht vertrauenswuerdige Anwendung ausfuehrt.
CVE-2011-0815 – Schwachstelle in der Java Runtime Environment
In der Windows-Version der AWT-Implementierung kann es zu einem Heap
Overflow beim Aufruf von FileDialog.show() kommen. Einem Angreifer ist
es damit moeglich, schlimmstenfalls beliebigen Code auszufuehren.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket Security update for IBM Java
SUSE Linux Enterprise Teradata 10 SP3
SUSE Linux Enterprise Server 10 SP4
SUSE Linux Enterprise Server 10 SP3
SUSE Linux Enterprise Java 10 SP4
SUSE Linux Enterprise Java 10 SP3
SUSE Linux Enterprise Desktop 10 SP4
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Detlev O. Matthies
– —
Detlev O. Matthies, M.Sc. (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen https://www.cert.dfn.de/autowarn
SUSE Security Update: Security update for IBM Java
______________________________________________________________________________
Announcement ID: SUSE-SU-2011:0863-1
Rating: important
References: #707244
Affected Products:
SUSE Linux Enterprise Teradata 10 SP3
SUSE Linux Enterprise Server 10 SP4
SUSE Linux Enterprise Server 10 SP3
SUSE Linux Enterprise Java 10 SP4
SUSE Linux Enterprise Java 10 SP3
SUSE Linux Enterprise Desktop 10 SP4
______________________________________________________________________________
An update that contains security fixes can now be installed.
Description:
IBM Java 1.5.0 SR12 FP5 has been released fixing bugs and
security issues.
Following security issues were fixed:
*
CVE-2011-0865: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, 5.0 Update 29 and earlier, and
1.4.2_31 and earlier allows remote untrusted Java Web Start
applications and untrusted Java applets to affect integrity
via unknown vectors related to Deserialization.
*
CVE-2011-0866: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, 5.0 Update 29 and earlier, and
1.4.2_31 and earlier, when running on Windows, allows
remote untrusted Java Web Start applications and untrusted
Java applets to affect confidentiality, integrity, and
availability via unknown vectors related to Java Runtime
Environment.
*
CVE-2011-0802: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, when running on Windows, allows
remote untrusted Java Web Start applications and untrusted
Java applets to affect confidentiality, integrity, and
availability via unknown vectors related to Deployment, a
different vulnerability than CVE-2011-0786.
*
CVE-2011-0814: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, 5.0 Update 29 and earlier, and
1.4.2_31 and earlier allows remote attackers to affect
confidentiality, integrity, and availability via unknown
vectors related to Sound, a different vulnerability than
CVE-2011-0802.
*
CVE-2011-0815: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, 5.0 Update 29 and earlier, and
1.4.2_31 and earlier allows remote untrusted Java Web Start
applications and untrusted Java applets to affect
confidentiality, integrity, and availability via unknown
vectors related to AWT.
*
CVE-2011-0862: Multiple unspecified vulnerabilities
in the Java Runtime Environment (JRE) component in Oracle
Java SE 6 Update 25 and earlier, 5.0 Update 29 and earlier,
and 1.4.2_31 and earlier allow remote attackers to affect
confidentiality, integrity, and availability via unknown
vectors related to 2D.
*
CVE-2011-0867: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, 5.0 Update 29 and earlier, and
1.4.2_31 and earlier allows remote untrusted Java Web Start
applications and untrusted Java applets to affect
confidentiality via unknown vectors related to Networking.
*
CVE-2011-0871: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, 5.0 Update 29 and earlier, and
1.4.2_31 and earlier allows remote untrusted Java Web Start
applications and untrusted Java applets to affect
confidentiality, integrity, and availability via unknown
vectors related to Swing.
*
CVE-2011-0872: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier allows remote attackers to affect
availability via unknown vectors related to NIO.
*
CVE-2011-0873: Unspecified vulnerability in the Java
Runtime Environment (JRE) component in Oracle Java SE 6
Update 25 and earlier, and 5.0 Update 29 and earlier,
allows remote attackers to affect confidentiality,
integrity, and availability via unknown vectors related to
2D.
Indications:
Please install this update.
Package List:
– SUSE Linux Enterprise Teradata 10 SP3 (x86_64):
java-1_5_0-ibm-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-alsa-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-fonts-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP4 (i586 ppc s390x x86_64):
java-1_5_0-ibm-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-fonts-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP4 (s390x x86_64):
java-1_5_0-ibm-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-32bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP4 (i586 ppc):
java-1_5_0-ibm-jdbc-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-plugin-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP4 (x86_64):
java-1_5_0-ibm-alsa-32bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP4 (i586):
java-1_5_0-ibm-alsa-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP4 (ppc):
java-1_5_0-ibm-64bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP3 (i586 ppc s390x x86_64):
java-1_5_0-ibm-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-fonts-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP3 (s390x x86_64):
java-1_5_0-ibm-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-32bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP3 (i586 ppc):
java-1_5_0-ibm-jdbc-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-plugin-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP3 (x86_64):
java-1_5_0-ibm-alsa-32bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP3 (i586):
java-1_5_0-ibm-alsa-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Server 10 SP3 (ppc):
java-1_5_0-ibm-64bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Java 10 SP4 (i586 ppc s390x x86_64):
java-1_5_0-ibm-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-fonts-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Java 10 SP4 (ppc):
java-1_5_0-ibm-jdbc-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-plugin-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Java 10 SP3 (i586 ppc s390x):
java-1_5_0-ibm-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-fonts-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Java 10 SP3 (ppc):
java-1_5_0-ibm-jdbc-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-plugin-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Desktop 10 SP4 (i586 x86_64):
java-1_5_0-ibm-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-demo-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-fonts-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-src-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Desktop 10 SP4 (x86_64):
java-1_5_0-ibm-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-alsa-32bit-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-devel-32bit-1.5.0_sr12.5-0.5.1
– SUSE Linux Enterprise Desktop 10 SP4 (i586):
java-1_5_0-ibm-alsa-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-jdbc-1.5.0_sr12.5-0.5.1
java-1_5_0-ibm-plugin-1.5.0_sr12.5-0.5.1
References:
https://bugzilla.novell.com/707244
http://download.novell.com/patch/finder/?keywords=2937cbb354c6df7495e14d6572d00c23
http://download.novell.com/patch/finder/?keywords=9f362d0065fd135e7f4ae300527396e5
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)
iQEcBAEBAgAGBQJOOQaSAAoJEJtyb8U7iGZBt7EH/jTo9ulUlkk/pwSiVespRSzV
j6ho8YAHUqFAUsaLypyfsaBIo17eQHKITjPTfNb+RtqvooFdMy564EqbTMKwd6wW
HC2Vt3lz2WhNrf29AEVKvFWBtvhHKjGE2YtA7LffscZQWy1IT3m+FbjCxEpkS0Iu
jpKWLUFPBW/brLNTWYu4jcbLeUipx7ZkaZM96slt47Nde2yoRdTtrKrGgFpovIaz
2DexRp5wylbgrKnuKusktPHRKkyhHCVi+cWXQv16XJxLo7bCQ4jtUuILxEJesKHP
jSbjVM2HPLCLkEMp0oD/SxbDb31AMVEXzzoDaweHE28YkKblTTzq2YzsgE6f/pA=
=Tx4b
—–END PGP SIGNATURE—–
