UPDATE: DFN-CERT-2012-0103 Mehrere Schwachstellen in HP Business Availability Center und Business Service Management [Unix][Solaris][Windows][Netzwerk][HP]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 1.0 (19.01.2012):
Neues Advisory
Version 2.0 (08.02.2012):
Der Hersteller stellt weitere Informationen zur Behebung der
Schwachstellen zur VerfÃŒgung.

Betroffene Software:

Business Availability Center (BAC) Version 8.07 und davor auf Windows und
Solaris
Business Service Management (BSM) Version 9.12 und davor auf Windows und
Solaris

Betroffene Plattformen:

Windows, Solaris

Mehrere Schwachstellen in HP Business Availability Center und Business
Service Management erlauben entfernten Angreifern auf sensible Informationen
zuzugreifen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://support.itrc.hp.com/

CVE-2010-1429: Schwachstelle in der Red Hat JBoss Enterprise Application
Platform

In der JBoss Enterprise Application Platform Version 4.2 vor 4.2.0.CP09 und
4.3 vor 4.3.0.CP08 besteht eine Schwachstelle, durch die entfernte Angreifer
mittels einer prÃ€parierten Anfrage an den “Status Servlet” Zugriff auf
sensible Informationen erhalten kÃ¶nnen. Diese Schwachstelle besteht aufgrund
einer unzureichenden Behebung der Schwachstelle CVE-2008-3273.

CVE-2008-3273: Schwachstelle in JBoss Enterprise Application Platform

In der JBoss Enterprise Application Platform vor Version 4.2.0.CP03, 4.3.0
vor 4.3.0.CP01 besteht eine Schwachstelle, durch die entfernte Angreifer
mittels einer prÃ€parierten Anfrage an den “Status Servlet” Zugriff auf
sensible Informationen erhalten kÃ¶nnen.

CVE-2010-1428: Schwachstelle in JBoss

Die Web-Console in JBossAs Version 4.2 vor 4.2.0.CP09 und 4.3 vor 4.3.0.CP0
ÃŒberprÃŒft Zugriffsrechte ausschlieÃ?lich bei GET- und POST-Anfragen. Dies
erlaubt entfernten Angreifern mittels einer anderen, nicht nÃ€her
beschriebenen Anfrage Zugriff auf sensible Informationen zu erhalten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0103/

Das Hersteller Advisory:
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c03127140

Schwachstelle CVE-2010-1428:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1428

Schwachstelle CVE-2010-1429:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1429

Schwachstelle CVE-2008-3273:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3273