DFN-CERT Portal

Schwachstellen

DFN-CERT-2017-2300: IBM Java: Mehrere Schwachstellen ermöglichen u.a. die Kompromittierung des Systems

Historie

Version 1 (2017-12-19 15:12)
Neues Advisory
Version 2 (2018-01-02 09:41)
Für SUSE OpenStack Cloud 6 sowie die SUSE Linux Enterprise Produktvarianten Software Development Kit 12 SP2 und 12 SP3, Server for SAP 12 SP1, Server 12 LTSS, 12 SP1 LTSS, 12 SP2 und 12 SP3 stehen Sicherheitsupdate für IBM Java 1.7.1 auf die Version 7.1.4.15 (IBM SDKs for Java Technology Version 7.1 Service Refresh 4 Fix Pack 15) bereit, um die aufgelisteten Schwachstellen zu beheben. Die Schwachstelle CVE-2016-10165 wurde neu in diese Meldung aufgenommen, da sie nur für die IBM Java Version 1.7.1 adressiert wird.
Version 3 (2018-01-10 13:09)
Für SUSE Linux Enterprise Server 11 SP3 LTSS steht ein Sicherheitsupdate für 'java-1_7_0-ibm' auf Version 7.0.10.15 bereit, um diese Schwachstellen zu beheben.

Betroffene Software

IBM Java 1.6.0
IBM Java 1.7.1

Betroffene Plattformen

SUSE Linux Enterprise Software Development Kit 12 SP2
SUSE Linux Enterprise Software Development Kit 12 SP3
SUSE OpenStack Cloud 6
SUSE Linux Enterprise Server 11 SP3 LTSS
SUSE Linux Enterprise Server 12 LTSS
SUSE Linux Enterprise Server 12 SP1 LTSS
SUSE Linux Enterprise Server for SAP 12 SP1
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP3

Lösung

Patch

SUSE Security Update SUSE-SU-2017:3369-1

Patch

SUSE Security Update SUSE-SU-2017:3455-1

Patch

SUSE Security Update SUSE-SU-2018:0061-1

Beschreibung

Mehrere Schwachstellen in IBM Java ermöglichen auch einem entfernten, nicht authentisierten Angreifer die Durchführung von Denial-of-Service-Angriffen, die Manipulation von Daten und mittels des Ausführens beliebigen Programmcodes die komplette Kompromittierung eines Systems.

Für SUSE Linux Enterprise Server 11 SP3 LTSS steht ein Sicherheitsupdate für IBM Java 1.6.0 auf die Version 6.0.16.50 (IBM SDKs for Java Technology Version 6.0 Service Refresh 16 Fix Pack 50) bereit, um die aufgelisteten Schwachstellen zu beheben.

Schwachstellen

CVE-2017-10388: Schwachstelle in Java SE und Java SE Embedded ermöglicht Kompromittierung der Software

Durch eine schwer auszunutzende Schwachstelle in der Subkomponente 'Libraries' von Java SE und Java SE Embedded ist es einem entfernten, nicht authentisierten Angreifer mit Netzwerkzugang über Kerberos möglich, die Software komplett zu kompromittieren. Die Schwachstelle besteht im Java SE Kerberos Client und erfordert zur erfolgreichen Ausnutzung die Interaktion eines Benutzers der Software.

CVE-2017-10356: Schwachstelle in Java SE, Java SE Embedded und JRockit ermöglicht Manipulation von Daten

Eine leicht auszunutzende Schwachstelle in Java SE, Java SE Embedded und JRockit ermöglicht einem lokalen, nicht authentisierten Angreifer den Zugriff auf sämtliche der Software zugänglichen Daten sowie weitere, möglicherweise kritische Daten. Die Schwachstelle betrifft Java-Anwendungen, die in der Sandbox ausgeführt werden und solche, die über die Programmschnittstelle der betroffenen Subkomponente 'Security' angesprochen werden können.

CVE-2017-10348 CVE-2017-10349 CVE-2017-10350 CVE-2017-10357: Schwachstellen in Java SE und Java SE Embedded ermöglichen Denial-of-Service-Angriffe

Mehrere leicht auszunutzende Schwachstellen in den Subkomponenten 'Libraries', 'JAXP', 'JAX-WS' und 'Serialization' von Java SE und Java SE Embedded ermöglichen einem entfernten, nicht authentisierten Angreifer über verschiedene Protokolle die Kompromittierung der Software und in der Folge die Erzeugung eines partiellen Denial-of-Service-Zustands. Die Schwachstellen betreffen Java-Anwendungen, die in der Sandbox ausgeführt werden.

CVE-2017-10347: Schwachstelle in Java SE und JRockit ermöglicht Denial-of-Service-Angriff

Eine leicht auszunutzende Schwachstelle in der Subkomponente 'Serialization' von Java SE und JRockit ermöglicht einem entfernten, nicht authentisierten Angreifer über verschiedene Protokolle die Kompromittierung der Software und in der Folge die Erzeugung eines partiellen Denial-of-Service-Zustands. Die Schwachstelle betrifft Java-Anwendungen, die in der Sandbox ausgeführt werden.

CVE-2017-10345: Schwachstelle in Java SE, Java SE Embedded und JRockit ermöglicht Denial-of-Service-Angriff

Eine schwer auszunutzende Schwachstelle in der Subkomponente 'Serialization' von Java SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht authentisierten Angreifer über verschiedene Protokolle die Kompromittierung der Software und in der Folge die Erzeugung eines partiellen Denial-of-Service-Zustands. Die Schwachstelle betrifft Java-Anwendungen, die in der Sandbox ausgeführt werden und solche, die über die Programmschnittstelle der betroffenen Subkomponente angesprochen werden können. Für die erfolgreiche Ausnutzung der Schwachstelle, ist eine nicht näher spezifizierte Interaktion mit einem Benutzer der Software erforderlich.

CVE-2017-10295: Schwachstelle in Java SE, Java SE Embedded und JRockit ermöglicht Manipulation von Daten

Durch eine schwer auszunutzende Schwachstelle in der Subkomponente 'Networking' von Java SE, Java SE Embedded und JRockit kann ein entfernter, nicht authentisierter Angreifer mit Netzwerkzugriff über HTTP die Software kompromittieren und dadurch einige der zugänglichen Daten manipulieren. Die Schwachstelle betrifft Java-Installationen, die auf die Java Sandbox zurückgreifen, um nicht vertrauenswürdigen Programmcode auszuführen und kann auch über die Networking-API ausgenutzt werden.

CVE-2017-10293: Schwachstelle in Java SE ermöglicht Manipulation von Daten

Durch eine leicht auszunutzende Schwachstelle in der Subkomponente 'Javadoc' von Java SE kann ein entfernter, nicht authentisierter Angreifer mit Netzwerkzugriff über HTTP die Software kompromittieren und dadurch einige der Java SE zugänglichen Daten manipulieren. Die Schwachstelle betrifft Java-Installationen, die auf die Java Sandbox zurückgreifen, um nicht vertrauenswürdigen Programmcode auszuführen. Eine erfolgreiche Ausnutzung der Schwachstelle erfordert die Interaktion eines vom Angreifer verschiedenen Benutzers und kann Auswirkungen auf andere Produkte auf dem System haben.

CVE-2017-10285 CVE-2017-10346: Schwachstellen in Java SE und Java SE Embedded ermöglichen komplette Kompomittierung der Software

Zwei leicht auszunutzende Schwachstellen in den Subkomponenten 'RMI' und 'Hotspot' von Oracle Java SE und Java SE Embedded ermöglichen einem entfernten, nicht authentifizierten Angreifer über verschiedene Protokolle unautorisiert die komplette Kompromittierung der Software. Diese Schwachstellen betreffen Client-Installationen von Java und können über Java Web Start-Anwendungen und Java Applets ausgenutzt werden. Für die erfolgreiche Ausnutzung der Schwachstellen, ist eine nicht näher spezifizierte Interaktion mit einem Benutzer der Software erforderlich.

CVE-2017-10281 CVE-2017-10355: Schwachstellen in Java SE, Java SE Embedded und JRockit ermöglichen Denial-of-Service-Angriffe

Zwei leicht auszunutzende Schwachstellen in den Subkomponenten 'Serialization' und 'Networking' von Java SE, Java SE Embedded und JRockit ermöglicht einem entfernten, nicht authentisierten Angreifer über verschiedene Protokolle die Kompromittierung der Software und in der Folge die Erzeugung eines partiellen Denial-of-Service-Zustands. Die Schwachstelle betrifft Java-Anwendungen, die in der Sandbox ausgeführt werden und solche, die über die Programmschnittstelle der betroffenen Subkomponenten angesprochen werden können.

CVE-2016-10165: Schwachstelle in LittleCMS ermöglicht u.a. Ausspähen von Informationen

In der Funktion 'Type_MLU_Read()' in 'cmstypes.c' von LittleCMS existiert eine Schwachstelle aufgrund unzureichender Überprüfung auf Speichergrenzen. Diese ermöglicht Lesezugriffe auf dem Heap-basierten Pufferspeicher außerhalb der zulässigen Grenzen (Out-of-bounds Read). Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle ausnutzen, mit Hilfe einer Bilddatei, deren ICC-Profil bösartig präpariert wurde, um Informationen aus dem Heap-Pufferspeicher ausspähen oder durch Auslösen einer Speicherschutzverletzung einen Denial-of-Service (DoS)-Angriff durchzuführen.

CVE-2016-9841: Schwachstelle in zlib ermöglicht Manipulation von Daten und Denial-of-Service-Angriff

Durch die Verwendung einer nicht mehr zeitgemäßen Zeigerarithmetik in 'inffast.c' besteht eine Schwachstelle in zlib, die es ermöglicht, auf Speicherbereiche außerhalb zulässiger Grenzen zuzugreifen (Out-of-Bounds Access) und dadurch eine Speicherschutzverletzung auszulösen. Ein entfernter, nicht authentisierter Angreifer kann einen Denial-of-Service-Angriff durchführen.

Im Kontext der Java SE, Java SE Embedded Komponente von Oracle Java SE (Subkomponente: Util (zlib)) existiert in den unterstützten Versionen Java SE 6u161, 7u151 und 8u144; Java SE Embedded 8u144 eine über mehrere Protokolle leicht auszunutzende Schwachstelle, durch die ein entfernter, nicht authentisierter Angreifer mit Netzwerkzugriff Java SE, Java SE Embedded kompromittieren kann. Der Angreifer kann unautorisiert einige der über Java SE, Java SE Embedded zugänglichen Daten verändern, einfügen oder löschen.

Referenzen

© DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf des schriftlichen Einverständnisses des Rechteinhabers.