UPDATE: DFN-CERT-2016-1068 Apache Commons FileUpload: Eine Schwachstelle ermöglicht einen Denial-of-Service-Angriff [Linux][Debian]

DFN-CERT portal at dfn-cert.de
Mon Jul 4 10:45:01 CEST 2016


Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
  Version 2 (04.07.2016):
    Debian stellt Sicherheitsupdates für die Distributionen Jessie (stable)
    und Stretch (testing) Sicherheitsupdates für Tomcat (tomcat7) bereit.
  Version 1 (01.07.2016):
    Neues Advisory

Betroffene Software:

  Apache Commons FileUpload <= 1.3.1
  Apache Software Foundation Tomcat
  

Betroffene Plattformen:

  Debian Linux 8.4 Jessie
  Debian Linux 8.5 Jessie
  Debian Linux 9.0 Stretch
  


Ein entfernter, nicht authentifizierter Angreifer kann eine Schwachstelle
ausnutzen, indem er wiederholt bestimmte FileUpload-Anfragen sendet und
damit einen Denial-of-Service (DoS)-Zustand verursachen.

Für die Distributionen Debian Jessie (stable) und Stretch (testing) stehen
Sicherheitsupdates bereit.



Patch:

  Debian Security Advisory DSA-3611-1

  <https://www.debian.org/security/2016/dsa-3611>

Patch:

  Debian Security Advisory DSA-3614-1

  <https://www.debian.org/security/2016/dsa-3614>


CVE-2016-3092: Schwachstelle in Apache Tomcat ermöglicht
  Denial-of-Service-Angriff

  In der Apache Commons FileUpload-Komponente von Apache Tomcat existiert eine
  Denial-of-Service (DoS)-Schwachstelle. Wenn die 'Multipart Boundaries' von
  Dateien nur knapp unterhalb der Größe des Puffers (4096 Byte) sind, der
  verwendet wird, um hochgeladene Dateien zu lesen, benötigt der
  FileUpload-Prozess mehrere Größenordnungen mehr Zeit, als bei den üblichen
  10 Bytes. Ein entfernter, nicht authentifizierter Angreifer kann diese
  Schwachstelle ausnutzen, indem er wiederholt entsprechende
  FileUpload-Requests sendet und damit einen Denial-of-Service (DoS)-Zustand
  verursachen.


Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
  <https://portal.cert.dfn.de/adv/DFN-CERT-2016-1068/>

Schwachstelle CVE-2016-3092 (NVD):
  <http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3092>

Debian Security Advisory DSA-3611-1:
  <https://www.debian.org/security/2016/dsa-3611>

Debian Security Advisory DSA-3614-1:
  <https://www.debian.org/security/2016/dsa-3614>


(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
-------------- next part --------------
A non-text attachment was scrubbed...
Name: smime.p7s
Type: application/pkcs7-signature
Size: 4686 bytes
Desc: not available
URL: <https://lists.cert.uni-stuttgart.de/pipermail/security-announce/attachments/20160704/3cb45faf/attachment.bin>


More information about the Security-Announce mailing list