Kurzinfo CB-K15/1681 Update 6

5 Risiko: sehr hoch
Information zu Schwachstellen und Sicherheitslücken
Titel: Apache Commons Collections, IBM WebSphere Application Server, Oracle WebLogic Server: Eine Schwachstelle ermöglicht das Ausführen beliebigen Programmcodes
Datum: 26.02.2016
Software: Apache Commons Collection, IBM WebSphere Application Server 7.0, IBM WebSphere Application Server 8.0, IBM WebSphere Application Server 8.5, IBM WebSphere Application Server 8.5.5, Oracle Weblogic Server 10.3.6.0, Oracle Weblogic Server 12.1.2.0, Oracle Weblogic Server 12.1.3.0, Oracle Weblogic Server 12.2.1.0
Plattform: Cisco ASA Context Aware (CX) Services , Cisco Broadband Access Center Telco Wireless Software, Cisco Prime Infrastructure, Cisco Unity Connection Server, Cisco Data Center Analytics Framework, Cisco Digital Media Manager, Cisco Emergency Responder, Cisco Identity Services Engine, Cisco MediaSense, Cisco MeetingPlace, Cisco Network Admission Control Manager, Cisco Prime Collaboration Provisioning, Cisco Prime Security Manager, Cisco Secure Access Control System (ACS), Cisco Security Manager, Cisco SocialMiner, UCS Director, Cisco Unified Communications Domain Manager, Cisco Unified Communications Manager, Cisco Unified Contact Center Enterprise, Unified Contact Center Express, Cisco Unified Intelligent Contact Management Enterprise, Cisco Unified Web and E-Mail Interaction Manager, Cisco WebEx Meetings Server 1.x, Cisco WebEx Meetings Server 2.x, F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0, F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1, Cisco Mobility Services Engine, Cisco NAC Appliance, Cisco Network Access Control (NAC) Guest Server, Cisco Secure Access Control Server (ACS), GNU/Linux, HP-UX family of operating systems, IBM AIX, Microsoft Windows , Oracle Solaris
Auswirkung: Ausführen beliebigen Programmcodes mit den Rechten des Dienstes
Remoteangriff: Ja
Risiko: sehr hoch
CVE Liste: CVE-2015-4852, CVE-2015-6420
Bezug: IBM Security Bulletin swg21970575
Beschreibung

Die Apache Commons Collection ist eine allgemeine Bibliothek für Java, welche das Java-Collections-Framework um Klassen zur Verwaltung von Datenbeständen erweitert.

Der IBM WebSphere Application Server (WAS) ist ein Software-Framework und eine Middleware, die dazu dient Java basierende Webanwendungen zu hosten. IBM WAS wurde unter Verwendung offener Standards wie Java EE, XML und Web Services entwickelt und wird unter anderem auf den Plattformen Windows, AIX, Linux und Solaris unterstützt.

Der WebLogic Server von Oracle ist ein Application Server für herkömmliche und Cloud-Umgebungen.

Eine Schwachstelle in Apache Commons Collections bzw. Jenkins ermöglicht einem entfernten, nicht authentifizierten Angreifer beliebigen Programmcode auszuführen. Diese Schwachstelle betrifft eine Reihe von Application Server Produkten verschiedener Hersteller, unter anderem die IBM WebSphere Application Server Versionen 7.0, 8.0, 8.5, 8.5.5 und die Oracle WebLogic Server Versionen 10.3.6.0, 12.1.2.0, 12.1.3.0, 12.2.1.0; IBM WebSphere Application Server verwendet Apache Commons, der Oracle WebLogic Server verwendet Jenkins. Für IBM WebSphere Application Server und IBM WebSphere Application Server Hypervisor Editionen werden ebenfalls Sicherheitsupdates bereitgestellt, für V8.5.0.0 - 8.5.5.7 der Interim Fix PI52103, für V8.0.0.0 - 8.0.0.11 der Interim Fix PI52103, für V7.0.0.0 - 7.0.0.39 der Interim Fix PI52103. Die entsprechenden Fix Pack Versionen 8.5.5.8, 8.0.0.12 und 7.0.0.41 werden für Dezember 2015, Februar 2016, bzw. April 2016 angekündigt. Oracle informiert darüber, dass an der Erstellung von Sicherheitsupdates für Oracle WebLogic Server gearbeitet wird. Update: Cisco aktualisiert erneut die Liste der von Schwachstelle CVE-2015-6420 betroffenen Produkte und führt u.a. Cisco Emergency Responder, Cisco MediaSense, Cisco MeetingPlace, Cisco Mobility Services Engine (MSE), Cisco Network Admission Control, Cisco Prime Infrastructure, Provisioning sowie Security Manager, Cisco SocialMiner, Cisco Unified Communications Manager, Domain Manager, Contact Center Express sowie E-Mail Interaction Manager, Cisco Unity Connection und Cisco Unified Computing Systems als verwundbar auf.

  1. IBM Security Bulletin swg21970575

  2. Oracle Security Alert CVE-2015-4852

  3. Schwachstelle CVE-2015-4852 (NVD)

  4. Cisco Security Advisory cisco-sa-20151209-java-deserialization

  5. Schwachstelle CVE-2015-6420 (NVD)

  6. F5 Networks Security Advisory sol30518307

CERT-Bund bietet personalisierte Warn- und Informationsdienste an.
Bitte registrieren Sie sich, um diese Angebote nutzen zu können.