{"id":949,"date":"2015-11-11T10:48:08","date_gmt":"2015-11-11T09:48:08","guid":{"rendered":"https:\/\/info.gwdg.de\/news\/en\/?p=949"},"modified":"2015-11-11T10:48:08","modified_gmt":"2015-11-11T09:48:08","slug":"zero-day-luecke-in-java-apache-commons-collection-bibliothek","status":"publish","type":"post","link":"https:\/\/info.gwdg.de\/news\/zero-day-luecke-in-java-apache-commons-collection-bibliothek\/","title":{"rendered":"Zero-Day-L\u00fccke in Java Apache Commons-Collection Bibliothek"},"content":{"rendered":"<div>Seit dem 06.11.2015 ist eine Zero-Day L\u00fccke in der Apache Commons-Collection Bibliothek bekannt. Diese L\u00fccke erlaubt es serialisierte Java-Objektdaten mit Code zu versehen, der dann aufgrund eines Bugs in der Apache Commons-Collection Bibliothek mit den Berechtigungen der Anwendung ausgef\u00fchrt wird. Da viele Opensource-Anwendungen Gebrauch von Apache Commons Collections machen und die L\u00fccke \u00fcber Netzwerk ausgenutzt werden kann, ist sie als kritisch einzustufen.<\/div>\n<div><\/div>\n<div>Betroffene Produkte:<\/div>\n<div>&#8211; Jenkins,<\/div>\n<div>&#8211; JBoss,<\/div>\n<div>\n<div>&#8211; WebLogic<\/div>\n<div>&#8211; WebSphere,<\/div>\n<div>&#8211; OpenNMS<\/div>\n<\/div>\n<div><\/div>\n<div>&#8230; sowie s\u00e4mtliche Java-Anwendungen, die serialisierte Objektdaten als Datei oder \u00fcber Netzwerk entgegen nehmen und Apache Commons-Collection nutzen. Auch ein aktiviertes JMX-Profiling der JavaVM mit extern ge\u00f6ffneten TCP-Ports erlaubt es die L\u00fccke zu exploiten, da JMX als Protokoll auf Objektserialisierung aufsetzen.<\/div>\n<div><\/div>\n<div>Zusammenfassung:<\/div>\n<div><span style=\"font-family: Calibri, sans-serif;\"><a href=\"http:\/\/www.heise.de\/newsticker\/meldung\/Zero-Day-Alarm-fuer-viele-Server-mit-Java-2913605.html\" class=\"external\" rel=\"nofollow\">http:\/\/www.heise.de\/newsticker\/meldung\/Zero-Day-Alarm-fuer-viele-Server-mit-Java-2913605.html<\/a>\u00a0<\/span><\/div>\n<div><span style=\"font-family: Calibri, sans-serif;\">\u00a0<\/span><\/div>\n<div>Full Disclosure:<\/div>\n<div>\n<div><a href=\"http:\/\/foxglovesecurity.com\/2015\/11\/06\/what-do-weblogic-websphere-jboss-jenkins-opennms-and-your-application-have-in-common-this-vulnerability\/#thevulnerability\" class=\"external\" rel=\"nofollow\">http:\/\/foxglovesecurity.com\/2015\/11\/06\/what-do-weblogic-websphere-jboss-jenkins-opennms-and-your-application-have-in-common-this-vulnerability\/#thevulnerability<\/a><\/div>\n<div><\/div>\n<div>F\u00fcr Jenkins gibt es bereits ein Workaround zur Schlie\u00dfung der L\u00fccke:<\/div>\n<div><a href=\"https:\/\/jenkins-ci.org\/content\/mitigating-unauthenticated-remote-code-execution-0-day-jenkins-cli\" class=\"external\" rel=\"nofollow\">https:\/\/jenkins-ci.org\/content\/mitigating-unauthenticated-remote-code-execution-0-day-jenkins-cli<\/a><\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Seit dem 06.11.2015 ist eine Zero-Day L\u00fccke in der Apache Commons-Collection Bibliothek bekannt. Diese L\u00fccke erlaubt es serialisierte Java-Objektdaten mit Code zu versehen, der dann aufgrund eines Bugs in der Apache Commons-Collection Bibliothek mit den Berechtigungen der Anwendung ausgef\u00fchrt wird. Da viele Opensource-Anwendungen Gebrauch von Apache Commons Collections machen und die L\u00fccke \u00fcber Netzwerk ausgenutzt &#8230; <a title=\"Zero-Day-L\u00fccke in Java Apache Commons-Collection Bibliothek\" class=\"read-more\" href=\"https:\/\/info.gwdg.de\/news\/zero-day-luecke-in-java-apache-commons-collection-bibliothek\/\" aria-label=\"Mehr Informationen \u00fcber Zero-Day-L\u00fccke in Java Apache Commons-Collection Bibliothek\">Weiterlesen<\/a><\/p>\n","protected":false},"author":16,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-949","post","type-post","status-publish","format-standard","hentry","category-sicherheit"],"_links":{"self":[{"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/posts\/949","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/users\/16"}],"replies":[{"embeddable":true,"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/comments?post=949"}],"version-history":[{"count":1,"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/posts\/949\/revisions"}],"predecessor-version":[{"id":950,"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/posts\/949\/revisions\/950"}],"wp:attachment":[{"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/media?parent=949"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/categories?post=949"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/info.gwdg.de\/news\/wp-json\/wp\/v2\/tags?post=949"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}