Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (24.02.2017):
IBM informiert darüber, dass IBM Security Access Manager Appliances von
der Schwachstelle in IBM WebSphere Application Server betroffen sind und
stellt Sicherheitsupdates bereit. Benutzer von IBM Security Access Manager
for Web 8.0 und IBM Security Access Manager for Mobile 8.0 werden
angewiesen, zunächst ein Upgrade auf Version 8.0.1.5 der Firmware
durchzuführen und dann den Interim Fix 1 zu installieren. Für den IBM
Security Access Manager 9.0 ist ein Upgrade auf Version 9.0.2.1 und
Installation des Interim Fix 1 erforderlich, um die Schwachstelle zu
beheben.
Version 1 (26.09.2016):
Neues Advisory

Betroffene Software:

IBM Security Access Manager >= 9.0
IBM Security Access Manager <= 9.0.2.1 IBM Security Access Manager for Mobile >= 8.0.0.0
IBM Security Access Manager for Mobile <= 8.0.1.5 IBM Security Access Manager for Web >= 8.0.0.0
IBM Security Access Manager for Web <= 8.0.1.5 IBM WebSphere Application Server >= 7.0.0.0
IBM WebSphere Application Server <= 7.0.0.41 IBM WebSphere Application Server >= 8.0.0.0
IBM WebSphere Application Server <= 8.0.0.12 IBM WebSphere Application Server >= 8.5.0.0
IBM WebSphere Application Server <= 8.5.5.10 IBM WebSphere Application Server >= 9.0.0.0
IBM WebSphere Application Server <= 9.0.0.1 IBM WebSphere Application Server <= 16.0.0.3 Betroffene Plattformen: IBM Security Access Manager Appliance 9.0 IBM Security Access Manager for Mobile Appliance 8.0 IBM Security Access Manager for Web Appliance 8.0 GNU/Linux HP-UX IBM AIX Microsoft Windows Oracle Solaris Ein entfernter, einfach authentifizierter Angreifer kann eine Schwachstelle in IBM WebSphere Application Server ausnutzen, um beliebigen Java-Programmcode auszuführen. IBM informiert über die Schwachstelle und stellt den Interim Fix PI62375 zur Behebung der Schwachstelle bereit. Darüber hinaus werden verschiedene Fix Packs angekündigt, um die Schwachstelle zu beheben: Liberty Fix Pack 16.0.0.4 und Fix Pack 9.0.0.2 erscheinen am 09.12.2016, Fix Pack 8.5.5.11 am 23.12.2016, Fix Pack 8.0.0.13 am 20.02.2017 und Fix Pack 7.0.0.43 im zweiten Quartal 2017. Patch: IBM Security Bulletin swg21990060 https://www-01.ibm.com/support/docview.wss?uid=swg21990060

Patch:

IBM Security Update swg21996871

http://www.ibm.com/support/docview.wss?uid=swg21996871

CVE-2016-5983: Schwachstelle in IBM WebSphere Application Server ermöglicht
Ausführung beliebigen Programmcodes

Es besteht eine Schwachstelle im Zusammenhang mit einem serialisierten
Objekt von einer nicht vertrauenswürdigen Quelle.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1563/

IBM Security Bulletin swg21990060:
https://www-01.ibm.com/support/docview.wss?uid=swg21990060

Schwachstelle CVE-2016-5983 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5983

IBM Security Update swg21996871:
http://www.ibm.com/support/docview.wss?uid=swg21996871

IBM Security Bulletin: IBM Security Access Manager appliances are affected by
a vulnerability in IBM WebSphere Application Server (CVE-2016-5983):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-ibm-security-access-manager-appliances-are-affected-by-a-vulnerability-in-ibm-websphere-application-server-cve-2016-5983/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.