Kurzinfo CB-K16/0038

3 Risiko: mittel
Information zu Schwachstellen und Sicherheitslücken
Titel: McAfee ePolicy Orchestrator: Eine Schwachstelle ermöglicht das Ausführen beliebigen Programmcodes
Datum: 11.01.2016
Software: Apache Commons Collection 3.2.1, McAfee ePolicy Orchestrator <= 4.6.9, McAfee ePolicy Orchestrator <= 5.1.3, McAfee ePolicy Orchestrator 5.1.4, McAfee ePolicy Orchestrator <= 5.3.1
Plattform: McAfee ePolicy Orchestrator
Auswirkung: Ausführen beliebigen Programmcodes
Remoteangriff: Ja
Risiko: mittel
CVE Liste: CVE-2015-8765
Bezug: McAfee Security Bulletin SB10144
Beschreibung

Die Apache Commons Collection ist eine allgemeine Bibliothek für Java, welche das Java-Collections-Framework um Klassen zur Verwaltung von Datenbeständen erweitert.

McAfee ePolicy Orchestrator (McAfee ePO) ist eine Software für zentralisiertes Security Management in Enterprise Unternehmen.

McAfee ePolicy Orchestrator wird mit der Apache Commons Collection Java Bibliothek Version 3.2.1 ausgeliefert, die durch unsichere Deserialisierung von Daten verwundbar ist. Dadurch kann ein entfernter, nicht authentifizierter Angreifer beliebigen Programmcode mit den Rechten der Anwendung ausführen. McAfee stellt im Security Bulletin SB10144 einen Hotfix für die betroffene Software McAffee ePolicy Orchestrator (ePO) in Versionen 4.6.9, 5.1.3 sowie 5.3.3 und deren Vorgänger bereit. McAfee empfiehlt die folgenden Schritte zur Beseitigung der Schwachstelle: Nutzer von ePO 4.6.x sollen ein Upgrade auf ePO 5.1.3 oder 5.3.1 durchführen und dann den Hotfix EPO5xHF1106041.zip einspielen. Nutzer von ePO 5.0.x und 5.1.x sollen ein Upgrade auf ePO 5.1.3 oder 5.3.1 und dann den Hotfix EPO5xHF1106041.zip einspielen. Nutzer von ePO 5.3.0 sollen ein Upgrade auf ePO 5.3.1 durchführen und dann den Hotfix EPO5xHF1106041.zip einspielen. McAfee weist darauf hin, dass Kunden, die nach dem Standard FIPS 140-2 arbeiten und ePO 4.6.4 installiert haben, auf ePO 5.1.x upgraden können, um die FIPS-konformen Installationen zu bewahren.

  1. McAfee Security Bulletin SB10144

  2. Schwachstelle CVE-2015-8765 (NVD)

CERT-Bund bietet personalisierte Warn- und Informationsdienste an.
Bitte registrieren Sie sich, um diese Angebote nutzen zu können.