📚 Apache Tomcat bis 6.0.47/7.0.72/8.0.38/8.5.6/9.0.0.M11 JmxRemoteLifecycleListener erweiterte Rechte

🕛 Zeit seit Veröffentlichung: 2706 Tage, 18 Stunden 39 Minuten
📆 Veröffentlicht am: 08.11.2016 um 01:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

Es wurde eine kritische Schwachstelle in Apache Tomcat bis 6.0.47/7.0.72/8.0.38/8.5.6/9.0.0.M11 entdeckt. Dabei betrifft es eine unbekannte Funktion der Komponente JmxRemoteLifecycleListener. Dank Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 08.11.2016 durch Pierre Ernst als Fixed in Apache Tomcat 9.0.0.M13 in Form eines bestätigten Release Notess (Website) publik gemacht. Das Advisory kann von tomcat.apache.org heruntergeladen werden. Die Verwundbarkeit wird unter CVE-2016-3427 geführt. Der Angriff kann über das Netzwerk erfolgen. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. Als Preis für einen Exploit ist zur Zeit ungefähr mit USD $0-$5k zu rechnen.

Ein Upgrade auf die Version 6.0.48, 7.0.73, 8.0.39, 8.5.8 oder 9.0.0.M13 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apache hat also sofort reagiert.

Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1037331) dokumentiert. Die Einträge 82654, 93796, 93797 und 93799 sind sehr ähnlich.

CVSSv3

Base Score: ≈6.3 [?]
Temp Score: ≈6.0 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C [?]
Zuverlässigkeit: Medium

CVSSv2

Base Score: ≈6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: ≈5.2 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: Medium

CPE

Exploiting

Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Upgrade: Tomcat 6.0.48/7.0.73/8.0.39/8.5.8/9.0.0.M13

Timeline

08.11.2016 Advisory veröffentlicht
08.11.2016 Gegenmassnahme veröffentlicht
23.11.2016 SecurityTracker Eintrag erstellt
25.11.2016 VulDB Eintrag erstellt
25.11.2016 VulDB letzte Aktualisierung

Quellen

Advisory: Fixed in Apache Tomcat 9.0.0.M13
Person: Pierre Ernst
Status: Bestätigt

CVE: CVE-2016-3427 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityTracker: 1037331 - Apache Tomcat JmxRemoteLifecycleListener Bug Lets Remote Users Execute Arbitrary Code on the Target System

Siehe auch: 82654, 93796, 93797, 93799

Eintrag

Erstellt: 25.11.2016
Eintrag: 76.3% komplett
...

🏠 Team IT Security News