2017-0676: Oracle Java SE, Java SE Embedded, JRockit, OpenJDK: Mehrere Schwachstellen ermöglichen u.a. die komplette Systemübernahme

Historie:

Version 1 (2017-04-19 13:56)

Neues Advisory

Version 2 (2017-04-20 18:24)

Für die Red Hat Enterprise Linux 6 und 7 Produktvarianten Desktop, HPC Node, Server und Workstation sowie für Red Hat Enterprise Linux Server TUS v. 7.3 stehen Sicherheitsupdates für OpenJDK 1.8.0 bereit. Mittels der Sicherheitsupdates werden die Schwachstellen CVE-2017-3509, CVE-2017-3511, CVE-2017-3526, CVE-2017-3533, CVE-2017-3539 und CVE-2017-3544 behoben.

Version 3 (2017-04-21 13:23)

Für Oracle Linux 6 (i386, x86_64) und Oracle Linux 7 (x86_64) stehen nun ebenfalls Sicherheitsupdates für OpenJDK 1.8.0 bereit, um die Schwachstellen CVE-2017-3509, CVE-2017-3511, CVE-2017-3526, CVE-2017-3533, CVE-2017-3539 und CVE-2017-3544 zu beheben.

Version 4 (2017-04-24 13:17)

Für die Red Hat Enterprise Linux 6 und 7 Produktvarianten Desktop, HPC Node, Server und Workstation stehen Sicherheitsupdates in Form aktualisierter Pakete von 'java-1.6.0-sun', 'java-1.7.0-oracle' und java-1.8.0-oracle' bereit, mit denen Oracle Java SE 6 auf Version 6 Update 151, Oracle Java SE 7 auf Version 7 Update 141 und Oracle Java SE 8 auf Version 8 Update 131 aktualisiert werden. Oracle Java SE beinhaltet jeweils Oracle Java Runtime Environment und das Oracle Java Software Development Kit. Mit den Sicherheitsupdates werden die Schwachstellen CVE-2017-3509, CVE-2017-3511 (nicht relevant für Oracle Java SE 6), CVE-2017-3526, CVE-2017-3533, CVE-2017-3539 und CVE-2017-3544 behoben.

Version 5 (2017-04-25 11:28)

Für Fedora 24, 25 und 26 steht das OpenJDK 1.8.0 Security Release u131 als Sicherheitsupdate im Status 'testing' (Fedora 25) beziehungsweise 'pending' (Fedora 24, Fedora 26) bereit.

Version 6 (2017-05-02 15:58)

Für Fedora 24, 25 und 26 steht das OpenJDK 1.8.0 Security Release u131 nun auch als Sicherheitsupdate für 32-Bit-ARM Architekturen (AArch32) im Status 'testing' bereit.

Version 7 (2017-05-09 13:45)

Für die Red Hat Enterprise Linux 6 und 7 Produktvarianten Desktop, HPC Node, Server und Workstation sowie für Red Hat Enterprise Linux Server TUS v. 7.3 stehen Sicherheitsupdates für OpenJDK 1.7.0 bereit, durch welche die Schwachstellen CVE-2017-3509, CVE-2017-3511, CVE-2017-3526, CVE-2017-3533, CVE-2017-3539 und CVE-2017-3544 behoben werden.

Version 8 (2017-05-12 11:52)

Canonical stellt für die Distributionen Ubuntu Linux 16.04 LTS, 16.10 und 17.04 Sicherheitsupdates für 'openjdk-8' bereit, um die entsprechenden Schwachstellen zu beheben.

Version 9 (2017-05-16 11:48)

Für die Distribution Ubuntu 14.04 LTS stehen Sicherheitsupdates für OpenJDK 7 zur Behebung der Schwachstellen bereit.

Version 10 (2017-05-19 12:30)

Canonical informiert darüber, dass das letzte Sicherheitsupdate für OpenJDK 7 auf Ubuntu Linux 14.04 LTS eine Regression im Kontext von TLS-Handshakes eingeführt hat. Es steht ein neues Sicherheitsupdate zur Verfügung, um diesen Fehler zu beheben.

Version 11 (2017-05-22 11:26)

Debian stellt für die stabile Distribution Jessie ein Sicherheitsupdate für 'openjdk-7' bereit, um die aufgeführten Schwachstellen, ausgenommen CVE-2017-3512 und CVE-2017-3514, zu beheben.

Version 12 (2017-05-26 11:52)

Für die SUSE Linux Enterprise Produkte Desktop 12 SP1 und SP2, Server 12 SP1 und SP2 sowie SUSE Linux Enterprise Server for Raspberry Pi 12 SP2 stehen Sicherheitsupdates für 'java-1_7_0-openjdk' auf Version 2.6.10 (OpenJDK 7u141) zur Behebung der Schwachstellen bereit. Zusätzlich zu den genannten Schwachstellen wird die kritische Schwachstelle CVE-2017-3289 adressiert, die von Oracle bereits mit dem Oracle Critical Patch Update für Java SE im Januar behoben wurde. Diese ermöglicht einem entfernten, nicht authentifizierten Angreifer über verschiedene Netzwerkprotokolle die Übernahme von Java SE sowie Java SE Embedded und in der Folge die komplette Kompromittierung des Systems.

Version 13 (2017-05-29 11:59)

Für openSUSE Leap 42.2 steht ein Sicherheitsupdate für 'java-1_7_0-openjdk' auf Version 2.6.10 (OpenJDK 7u141) zur Behebung der Schwachstellen bereit. Zusätzlich zu den genannten Schwachstellen wird die von Oracle bereits mit dem Oracle Critical Patch Update für Java SE im Januar behobene Schwachstelle CVE-2017-3289 adressiert.

Version 14 (2017-05-31 14:25)

Für SUSE Linux Enterprise Server for Raspberry Pi 12 SP2, Server 12 SP2 und Desktop 12 SP2 stehen Sicherheitsupdates für 'java-1_8_0-openjdk' (OpenJDK 8u131) bereit.

Version 15 (2017-06-09 11:23)

Für openSUSE Leap 42.2 steht 'java-1_8_0-openjdk' (OpenJDK 8u131) als Sicherheitsupdate zur Behebung der Schwachstellen bereit.

Betroffene Software

Entwicklung
Systemsoftware
Virtualisierung

Betroffene Plattformen

HP
Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Mehrere schwer auszunutzende Schwachstellen in verschiedenen Subkomponenten von Oracle Java SE 6u141, 7u131 und 8u121, Java SE Embedded 8u121 sowie JRockit R28.3.13 ermöglichen einem entfernten, nicht authentisierten Angreifer die komplette Systemübernahme, die Manipulation von Dateien, das Ausspähen von Informationen und einen Denial-of-Service-Angriff. Eine Schwachstelle ermöglicht auch einem lokalen, nicht authentisierten Angreifer die komplette Kompromittierung eines Systems. Die Schwachstellen betreffen meist Client-, aber auch Server-Installationen. Für die erfolgreiche Ausnutzung der Schwachstellen ist teilweise eine nicht näher spezifizierte Interaktion einer anderen Person als der des Angreifers erforderlich.

Oracle empfiehlt Benutzern von Java SE, die unveränderten Versionen des Java-Plugins und von Java Web Start aus dem aktuellen Java SE Development Kit (JDK) oder Java SE Runtime Environment (JRE) zu verwenden. Es steht eine aktuelle Versionen von Java SE 8 (Version 8u131) zum Download zur Verfügung. Aktuelle Versionen von Java SE 6 nach April 2013, Java SE 7 nach April 2015 und JRockit sind nur noch auf Anfrage verfügbar.

Oracle weist darüber hinaus darauf hin, dass beginnend mit diesem kritischen Patch Update Archivdateien vom Typ 'JAR', die mit MD5 signiert sind, vom Java Runtime Environment (JRE) als unsigniert angesehen werden und stellt Informationen zu zukünftigen Plänen in diesem Kontext als 'Cryptographic Roadmap' zur Verfügung.

Schwachstellen:

CVE-2017-3509

Schwachstelle in Java SE und Java SE Embedded ermöglicht Ausspähen von Informationen und Manipulation von Daten

CVE-2017-3511

Schwachstelle in Java SE, Java SE Embedded und JRockit ermöglicht komplette Systemübernahme

CVE-2017-3512 CVE-2017-3514

Schwachstellen in Java SE ermöglichen komplette Systemübernahme

CVE-2017-3526

Schwachstelle in Java SE, Java SE Embedded und JRockit ermöglicht Denial-of-Service-Angriff

CVE-2017-3533 CVE-2017-3544

Schwachstellen in Java SE, Java SE Embedded und JRockit ermöglichen Manipulation von Daten

CVE-2017-3539

Schwachstelle in Java SE und Java SE Embedded ermöglicht Manipulation von Daten

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.