Sicherheitslücke gefährdet Java-Server

09.11.2015

Betroffen sind Application Server wie JBoss, WebLogic und WebSphere.

Stephen Breen von Foxglove Security hat im Firmenblog eine Sicherheitslücke dokumentiert, von der viele Java-Programme betroffen sind, darunter diverse übers Web erreichbare Application Server wie JBoss, WebLogic und Websphere. Der Fehler steckt im Apache-Framework Commons Collections, das in vielen anderen Java-Projekten verwendet wird.

Bereits im Januar dieses Jahres hatten Gabriel Lawrence und Chris Frohoff auf der AppSecCali-Konferenz unter dem Titel "Marshalling Pickles" die Java-Sicherheitslücke vorgestellt. Erst kürzlich referierte Matthias Kaiser unter dem Titel "Exploiting Deserialization Vulnerabilities in Java" an der Ruhr-Uni Bochum zum gleichen Thema. Das Prinzip der Sicherheitslücke ist schon länger bekannt, existiert auch in anderen Programmiersprachen und basiert auf der fehlerhaften Verarbeitung serialisierter Programmdaten.

Breen hat nun einige Proof-of-Concept-Exploits geschrieben, die die beschriebene Lücke in den Java-Serveranwendungen JBoss, WebLogic und WebSphere ausnutzen und Anwendern eine Remote-Shell verschaffen. Zwei weitere Exploits beschäftigen sich mit dem Continuous-Integration-Tool Jenkins und der Netzwerkmanagement-Software OpenNMS.

Diese wie vergleichbare Sicherheitslücken in anderen Programmiersprachen in PHP demonstrieren, dass die Deserialisierung von Code-Objekten sehr fehleranfällig ist und für Angriffe missbraucht werden kann. Darüber hinaus weist Stephen Breen darauf hin, dass es bei Java-Software ungleich schwieriger ist, installierte Bibliotheken mit Patches gegen Sicherheitslücken zu versorgen, da es keine zentrale Stelle für solche Module gibt und viele Projekte ihre eigenen Kopien mitbringen, die jeweils einzeln gepatcht werden müssen.

Ähnliche Artikel

comments powered by Disqus
Mehr zum Thema

Oracle schließt kritische Sicherheitslücke in Java

Mit einem Update schließt Oracle die kürzlich bekannt gewordene kritische Sicherheitslücke, die Angreifer über das Java-Plugin im Browser ausnutzen konnten.

Artikel der Woche

Anti-Ransomware-Tools

Ransomware ist nach wie vor eine Plage und das Potenzial, das derartige Schadsoftware besitzt, stellte erst Mitte Mai "WannaDecrypt0r" unter Beweis. Der beste Schutz vor Ransomware sind Backups, doch das wissen auch die Erpresser. Daher begnügen sich diese in Zukunft nicht mehr damit, Dateien "nur" zu verschlüsseln. Vielmehr kopieren sich Angreifer die Daten und drohen mit deren Veröffentlichung. Angesichts zahlloser neuer Varianten lassen sich Virenwächter regelmäßig austricksen. Spezielle Anti-Ransomware-Tools versprechen daher Abhilfe. (mehr)
Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Linux-Backup

Welche Backup-Lösung setzen Sie für Linux im professionellen Umfeld ein?

  • keine
  • eigene Scripts
  • rsnapshot
  • rdiff-backup
  • Bacula
  • Bareos
  • Borg
  • Duplicity
  • Amanda
  • Burp
  • Clonezilla
  • Acronis
  • Arkeia
  • SEP sesam
  • Veeam
  • Redo Backup
  • Relax-and-Recover
  • andere kommerzielle Software
  • andere Open-Source-Software

Google+

Ausgabe /2017

Microsite