UPDATE: DFN-CERT-2014-0821 RedHat JBoss Web Framework Kit: Eine Schwachstelle ermöglicht das Ausführen beliebigen Programmcodes [Linux][RedHat]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (26.06.2014):
Für die Red Hat JBoss Enterprise Application Platform 5.2.0 und Red Hat
JBoss Enterprise Web Platform 5.2.0 stehen Sicherheitsupdates für Red Hat
Enterprise Linux 4, 5 und 6 zur Verfügung.
Version 1 (24.06.2014):
Neues Advisory

Betroffene Software:

RedHat JBoss Enterprise Application Platform 5.2.0
RedHat jBoss Enterprise Web Platform 5.2.0
RedHat JBoss Web Framework Kit 2.5.0

Betroffene Plattformen:

Red Hat Linux
Red Hat Linux 4
Red Hat Linux 5
Red Hat Linux 6

Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebigen Programmcode mit den Rechten des Benutzers
auszuführen.

Patch:

Red Hat Security Advisory RHSA-2014:0785

http://rhn.redhat.com/errata/RHSA-2014-0785.html

Patch:

Red Hat Security Advisory RHSA-2014:0791

http://rhn.redhat.com/errata/RHSA-2014-0791.html

Patch:

Red Hat Security Advisory RHSA-2014:0792

http://rhn.redhat.com/errata/RHSA-2014-0792.html

Patch:

Red Hat Security Advisory RHSA-2014:0793

http://rhn.redhat.com/errata/RHSA-2014-0793.html

Patch:

Red Hat Security Advisory RHSA-2014:0794

http://rhn.redhat.com/errata/RHSA-2014-0794.html

CVE-2014-0248: Schwachstelle in JBoss Seam erlaubt beliebigen Programmcode
mit Benutzerrechten auszuführen

Ein Schwachstelle in der Implementierung der
“org.jboss.seam.web.AuthenticationFilter”-Klasse besteht in einer
“unsauberen” Verwendung des Seam-Loggings. Eine entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, indem er
speziell präparierte Authentisierungs-Header an eine JBoss-Applikation
sendet, um beliebigen Programmcode mit den Rechten eines Benutzers ausführen
zu lassen, welcher diese Applikation gerade verwendet.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0821/

Red Hat Security Advisory RHSA-2014:0785:
http://rhn.redhat.com/errata/RHSA-2014-0785.html

Schwachstelle CVE-2014-0248 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0248

Red Hat Security Advisory RHSA-2014:0791:
http://rhn.redhat.com/errata/RHSA-2014-0791.html

Red Hat Security Advisory RHSA-2014:0792:
http://rhn.redhat.com/errata/RHSA-2014-0792.html

Red Hat Security Advisory RHSA-2014:0793:
http://rhn.redhat.com/errata/RHSA-2014-0793.html

Red Hat Security Advisory RHSA-2014:0794:
http://rhn.redhat.com/errata/RHSA-2014-0794.html