Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (28.07.2017):
Für Oracle Linux 7 (x86_64) steht ein korrespondierendes Sicherheitsupdate
bereit. Hier wird zusätzlich CVE-2017-5647 textuell erwähnt, die einem
entfernten, nicht authentisierten Angreifer das Ausspähen von
Informationen ermöglicht.
Version 1 (27.07.2017):
Neues Advisory
Betroffene Software:
Apache Software Foundation Tomcat
Betroffene Plattformen:
Oracle Linux 7
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Server 7.3 TUS
Red Hat Enterprise Linux Workstation 7
Zwei Schwachstellen in Apache Tomcat ermöglichen einem entfernten, nicht
authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen und
Ausspähen von Informationen.
Red Hat stellt für die Enterprise Linux 7 Produktvarianten Desktop, HPC
Node, Server und Workstation sowie für Server 7.3 Telecommunications Update
Service (TUS) Sicherheitsupdates für ‘tomcat’ bereit.
Patch:
Red Hat Security Advisory RHSA-2017:1809
http://rhn.redhat.com/errata/RHSA-2017-1809.html
Patch:
Oracle Linux Security Advisory ELSA-2017-1809
https://linux.oracle.com/errata/ELSA-2017-1809.html
CVE-2017-5664: Schwachstelle in Apache Tomcat ermöglicht Umgehen von
Sicherheitsvorkehrungen
Apache Tomcats ‘Default Servlet’ verarbeitet Fehlerseiten, die auf einer
statischen Datei basieren, fehlerhaft, da diese nicht wie erwartet wie eine
gewöhnliche GET-Anfrage ohne Berücksichtigung der verwendeten HTTP-Methode
verarbeitet werden. In Abhängigkeit der ursprünglichen Anfrage kann dieses
zu einem unerwarteten und unerwünschten Verhalten führen, was, wenn das
Default Servlet Schreibvorgänge erlaubt, auch das Überschreiben der
Fehlerseite beinhalten kann. Ein entfernter, nicht authentisierter Angreifer
kann dadurch Sicherheitsvorkehrungen umgehen.
CVE-2017-5648: Schwachstelle in Apache Tomcat ermöglicht Ausspähen von
Informationen
Einige Aufrufe von Anwendungslauschern (Application Listeners) verwenden
nicht das geeignete Fassadenobjekt (Facade Object). Dadurch ist es bei
Ausführung einer nicht vertrauenswürdigen Anwendung unter einem
SecurityManager dieser Anwendung möglich, eine Referenz auf das
Anfrageobjekt (Request Object) oder das Antwortobjekt (Response Object) zu
behalten und dadurch auf Informationen, die zu einer anderen Webanwendung
gehören, zuzugreifen und diese zu verändern. Ein entfernter, nicht
authentisierter Angreifer kann durch einen erfolgreichen Angriff sensitive
Informationen ausspähen und manipulieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1300/
Schwachstelle CVE-2017-5648 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5648
Schwachstelle CVE-2017-5664 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5664
Red Hat Security Advisory RHSA-2017:1809:
http://rhn.redhat.com/errata/RHSA-2017-1809.html
Oracle Linux Security Advisory ELSA-2017-1809:
https://linux.oracle.com/errata/ELSA-2017-1809.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
