Hewlett Packard Enterprise Warnmitteilungen zu Produktsicherheitslücken
HPE Produkt-Sicherheitsverfahren
Hewlett Packard Enterprise nutzt während des Produktentwicklungslebenszyklus Best Practices der IT-Branche, um einen starken Fokus auf Sicherheit zu gewährleisten. HPE Entwicklungs- und Herstellungstechniken sind darauf ausgerichtet, die Anforderungen an die Produktsicherheit zu erfüllen, das geistige Eigentum vom HPE zu schützen und die Anforderungen an die HPE Produktgewährleistung zu unterstützen.
Wenn eine neue branchenweite Sicherheitslücke bekannt wird, prüft HPE die eigene Produktlinie, um die Auswirkungen zu ermitteln. Für betroffene Produkte werden Sicherheits-Bulletins veröffentlicht. Diese Bulletins umfassen betroffene Produktversionen und eine entsprechende Lösung (Patch, Upgrade oder Konfigurationsänderung).
Sie können Echtzeit-Benachrichtigungen für zukünftige HPE Sicherheits-Bulletins und Ratgeber für Ihre Produkte abonnieren – Registrieren Sie sich für Warnmitteilungen zu Ihren Produkten.
+ Mehr anzeigen
Warnungen zu Produkt-Sicherheitslücken
-
HPE Systems Insight Manager (SIM) Remote Code Execution (CVE-2020-7200)
Am 15. Dezember 2020 wurden HPE-Kunden in einer Security Bulletin über eine kritische Sicherheitslücke bezüglich Remotecodeausführung in HPE Systems Insight Manager (SIM) unter Windows und Linux informiert. Die Sicherheitslücke wurde von Harrison Neal in Zusammenarbeit mit der Trend Micro Zero Day Initiative an HPE gemeldet. HPE hat eine Lösung oder manuelle Schadensbegrenzung bereitgestellt, die auf jedem System mit HPE SIM implementiert werden muss.
Weitere Informationen erhalten Sie im HPE Security Bulletin.
-
UEFI Secure Boot-Umgehungsgefahr, auch bekannt als BootHole-Sicherheitslücke (CVE-2020-10713, CVE-2020-15705)
Am 29. Juli wurde eine Sicherheitslücke im Linux GRUB2 Bootloader namens „BootHole“ entdeckt. (CVE-2020-10713 und CVE-2020-15705). Ein System ist für das BootHole-Problem anfällig, wenn ein signierter GRUB2-Bootloader mit dem anfälligen Code von der UEFI Allowed Signature Database (DB) ausgeführt werden darf. Die Sicherheitslücke kann dazu führen, dass der Secure Boot-Prozess auf Systemen umgangen wird, auf denen Secure Boot aktiviert ist.
Um diese Sicherheitslücke zu vermeiden, werden relevante Betriebssystemhersteller einen aktualisierten GRUB2-Bootloader und eine aktualisierte Forbidden Signature Database (DBX) zur Verfügung stellen, die auf dem System anzuwenden sind. Betroffene HPE-Produkte werden ebenfalls entsprechend diesen GRUB2- und DBX-Updates aktualisiert.
Darüber hinaus wird in der BootHole-Offenlegung eine ähnliche Sicherheitslücke erwähnt. HPE geht auf dieses Problem mit der Nummer CVE-2020-7205 ein.
HPE wird im Folgenden eine Dokumentation über die Auswirkungen auf das Produkt und die Lösung bereitstellen.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center.
-
Sicherheitslücke Ripple20 – mehrere Schwachstellen betreffen TCP/IP-Stack von Treck (mehrere CVEs)
Am 16. Juni 2020 machte JSOF die Ripple20-Sicherheitslücken im TCP/IP-Stack von Treck publik. HPE evaluiert bei jeder Sicherheitslücke, ob Produkte davon betroffen sind, und gibt entsprechende Hinweise in Rahmen der Kommunikation zur Fehlerbehebung.
Folgede CVEs wurden von HPE evaluiert: CVE-2020-11896, CVE-2020-11897, CVE-2020-11898, CVE-2020-11899, CVE-2020-11900, CVE-2020-11901, CVE-2020-11902, CVE-2020-11903, CVE-2020-11904, CVE-2020-11905, CVE-2020-11906, CVE-2020-11907, CVE-2020-11908, CVE-2020-11909, CVE-2020-11910, CVE-2020-11911, CVE-2020-11912, CVE-2020-11913, CVE-2020-11914.
Intel veröffentlichte auch die folgenden vier CVEs in Bezug auf Ripple20: CVE-2020-0594, CVE-2020-059, CVE-2020-0595, CVE-2020-8674.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Weitere Informationen erhalten Sie im HPE Support Center
HPE wird diese Problematik weiter untersuchen. Die Bewertung der produktbezogenen Auswirkungen wird aktualisiert, wenn weitere Informationen zur Verfügung stehen.
-
CacheOut-Sicherheitslücke (CVE-2020-0548 und CVE-2020-0549)
Am 27. Januar 2020 gab Intel eine Sicherheitslücke in der Mikrocode-Software seines CPU-Prozessors bekannt, wodurch Informationen frei zugänglich werden könnten. Diese Sicherheitslücke wird von den Sicherheitsforschern, die diese Problematik entdeckten, als CacheOut bezeichnet und unter den Referenznummern CVE-2020-0548 und CVE-2020-0549 geführt. Weitere Details hierzu finden Sie unter Intel Security Advisory 00329.
HPE wird im Folgenden eine Dokumentation über die Auswirkungen auf das Produkt und die Lösung bereitstellen.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center.
-
Plundervolt-Sicherheitslücke (CVE-2019-11157) in bestimmten HPE-Servern mit Intel-Prozessoren
Am 10. Dezember 2019 veröffentlichte eine Gruppe von Sicherheitsexperten einen Bericht, der einen Angriff namens Plundervolt beschrieb. Er richtet sich gegen bestimmte Intel-CPUs und nutzt einen privilegierten Zugriff, um die CPU-Spannung zu ändern. Dies kann zur Offenlegung oder Modifizierung von Code und Daten führen, die durch Intel Software Guard Extensions (SGX) geschützt werden. Das Problem wirkt sich auf bestimmte HPE Server aus, die auf den unten verlinkten Seiten beschrieben sind.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center.
-
TPM-FAIL-Sicherheitslücke (CVE-2019-16863)
Im Mai 2019 wandte sich ein Team von Wissenschaftlern an ST Micro, einen TPM-Anbieter (Trusted Platform Module), und beschrieb eine bei einem ST TPM entdeckte Sicherheitslücke. Das Ziel der Sicherheitslücke ist Elliptic Curve Digital Signature Algorithm (ECDSA), eine Funktion zur Generierung von Signaturen, die durch ein identifiziertes TPM-Produkt unterstützt wird (ST33TPHF2ESPI – Firmware 73.4). Der Angriff basiert auf Messungen der Command-Timing-Ausführung der TPM (CVE-2019-16863).
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center.
-
Linux Kernel TCP SACK Panic Remote Denial of Service (CVE-2019-11477, CVE-2019-11478,CVE-2019-11479)
Drei Fehler wurden im Zusammenhang mit dem Handling des Linux-Kernels mit TCP-Netzwerken gefunden. Die problematischste Sicherheitslücke kann es einem Remoteangreifer ermöglichen, eine Kernel-Panik in Systemen auszulösen, auf denen der betroffene Kernel ausgeführt wird, und die Systemverfügbarkeit zu beeinträchtigen. Die Fehler haben folgende CVE-Nummern:
CVE-2019-11477 : SACK Panic
CVE-2019-11478 : SACK Slowness
CVE-2019-11479 : Excess Resource Consumption Due to Low MSS Values
Die ersten beiden CVE-Nummern beziehen sich auf die SACK-Pakete (Selective Acknowledgement) in Kombination mit der maximalen TCP-Segmentgröße (TCP Maximum Segment Size, MSS). Die dritte CVE-Nummer ist aufgrund der maximalen Segmentgröße (Maximum Segment Size, MSS) betroffen.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center.
-
Microarchitectural Data Sampling (auch bekannt als MDS, ZombieLoad, RIDL & Fallout)
Am 14. Mai 2019 gaben Intel und andere Industriepartner Details und Informationen zu einer neuen Gruppe von Sicherheitslücken bekannt, die als Microarchitectural Data Sampling (MDS) bezeichnet werden. Es handelt sich um Sicherheitslücken in CPUs, die die Offenlegung von Informationen ermöglichen können. Intel veröffentlicht Microcode-Updates (MCU), um diese potenziellen Sicherheitslücken zu schließen. Diese sind mit entsprechenden Updates der Betriebssystem- und Hypervisor-Software verbunden.
Weitere Informationen erhalten Sie unter CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091 und dem Intel Security Advisory.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center.
-
AMI Aspeed Open BMC-Rekonfiguration und Außerkraftsetzung der Sicherheit, auch bekannt als Pantsdown, CVE-2019-6260
Am 23. Januar 2019 veröffentlichte Stewart Smith, ein Sicherheitsforscher, einen Blog, in dem Angriffe auf Betriebssystemebene gegen zugrundeliegende Computersystemkomponenten, sogenannte Baseband Management Controller (BMCs), veröffentlicht wurden. Die Sicherheitslücke wird aufgrund der überraschenden Art des Angriffs auch als pantsdown bezeichnet. Die zugehörige CVE-Nummer lautet CVE-2019-6260. Der Angriff soll auch mit dem in den Medien diskutierten sogenannten „Cloudborne“-Angriff im Zusammenhang stehen. Die BMC-Angriffe können dazu führen, dass die Firmware auf niedriger Ebene erneut flasht, Hardwarekennwörter geändert werden und das System außer Betrieb gesetzt wird. Betroffene BMCs von Drittanbietern werden bewertet und Updates von HPE bereitgestellt.
Weitere Informationen zu CVE-2019-6260 finden Sie unter NIST NVD
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Weitere Informationen erhalten Sie im HPE Support Center
-
Apache Struts 2 – Sicherheitslücke in der Remote-Codeausführung (CVE-2018-11776)
Am 22. August gab Apache eine Sicherheitslücke bei der Remote-Codeausführung im Zusammenhang mit der Anwendung in den Struts-Versionen 2.3 bis 2.3.34 und 2.5 bis 2.5.16 bekannt. Struts 2 wird in verschiedenen HPE Produkten verwendet. Weitere Informationen zu CVE-2018-11776 finden Sie im MITER CVE-Wörterbuch und NIST NVD.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Weitere Informationen erhalten Sie im HPE Support Center
-
L1 Terminal Fault – SGX (CVE-2018-3615), L1 Terminal Fault – BS, SMM (CVE-2018-3620), L1 Terminal Fault – VMM (CVE-2018-3646)
Am 14. August 2018 veröffentlichte Intel neue Sicherheitslücken, die sich auf Prozessoren auswirken, die auf bestimmten HPE-Plattformen unterstützt werden. Nutzen Hacker diese Sicherheitslücken aus, so besteht die Gefahr, dass sensible Daten missbräuchlich erfasst werden.
Diese Sicherheitslücken verwenden eine spekulative Ausführungs-Seitenkanalmethode, die Intel als L1 Terminal Fault (L1TF) bezeichnet. Zum Zeitpunkt der Veröffentlichung lagen Intel keine Meldungen darüber vor, dass L1TF in echten Exploits verwendet wurde. Intel hatte bereits früher im Jahr 2018 aktualisierte Mikrocodes veröffentlicht, die HPE anschließend bereits über System-ROM-Updates zur Verfügung gestellt hat. Diese aktualisierten Mikrocodes grenzen in Verbindung mit neuen Betriebssystem- und/oder Hypervisor-Softwareupdates, die jetzt zur Verfügung gestellt werden, die Risiken dieser Sicherheitslücken ein.
Intel hat mitgeteilt, dass es einen Marktteil gibt, hauptsächlich eine Untergruppe derer, die traditionelle Virtualisierungstechnologie in Rechenzentren nutzen, für den es ratsam sein könnte, zusätzliche Schritte zum Schutz der Systeme zu unternehmen. Dies kann das Aktivieren bestimmter Hypervisor-Kernplanungsfunktionen oder das Deaktivieren von Hyper-Threading in bestimmten Szenarien beinhalten. Beachten Sie die Empfehlungen von Betriebssystem- und Hypervisor-Anbietern.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Weitere Informationen erhalten Sie im HPE Support Center
-
Speculative Store Bypass Variant IV) CVE-2018-3639 & Rogue Register Load (Variant 3a) CVE-2018-3640 Sicherheitslücken
Am 21. Mai 2018 wurde eine branchenweite Sicherheitslücke bei modernen Mikroprozessorarchitekturen aufgedeckt. Neue Untersuchungen zur IT-Sicherheit haben ergeben, dass Hacker mit bestimmen Softwareanalysemethoden vertrauliche Daten, die normalerweise nicht zugänglich sind, auf ordnungsgemäß funktionierenden Computergeräten auslesen können. Derzeit wird diese Sicherheitslücke als Speculative Store Bypass oder Variant 4 (CVE-2018-3639) bezeichnet. Obwohl diese Sicherheitslücke viele Gemeinsamkeiten mit der kürzlich entdeckten Seitenkanalanalyse oder Spectre und Meltdown teilt, handelt es sich hierbei um eine neue Schwachstelle, die neue und einzigartige Maßnahmen erfordert.
Die Sicherheitslücke Speculative Store Bypass oder Variant 4 betrifft Mikroprozessorarchitekturen von mehreren CPU-Herstellern, einschließlich Intel, AMD und ARM. Um diese Schwachstelle zu beheben, haben Hardware- und Softwareanbieter aus der gesamten Branche, einschließlich HPE, gemeinsam an der Entwicklung von Risikominderungsstrategien gearbeitet. Die Risikominderungsstrategie für Intel-basierte Produkte erfordert sowohl Betriebssystem-Updates als auch System-ROM-Updates, einschließlich eines neuen Intel-Microcodes. Die Strategie für AMD-basierte Produkte erfordert nur ein Betriebssystem-Update.
Darüber hinaus wurde am 21. Mai 2018 eine weitere Sicherheitslücke, die als Rogue Register Load oder Variant 3A (CVE-2018-3640) bezeichnet wird, entdeckt, die es einem Angreifer ermöglicht, missbräuchlich auf Prozessorregister zuzugreifen. Diese Sicherheitslücke betrifft nur Intel-basierte Produkte. Für die Behebung dieser Schwachstelle ist nur ein System-ROM-Update mit einem neuen Intel-Mikrocode erforderlich. Für die Risikominderung von Rogue Register Load oder Variant 3A wird der gleiche Mikrocode verwendet wie für Speculative Store Bypass oder Variant 4.
Intel Itanium-Prozessoren sind weder für die Sicherheitslücke Speculative Store Bypass (CVE-2018-3639) noch für die Sicherheitslücke Rogue Register Load (CVE-2018-3640) anfällig.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Weitere Informationen erhalten Sie im HPE Support Center
-
Sicherheitslücken AMD-Prozessor (Fallout/Masterkey/Ryzenfall/Chimera)
Am 13. März 2018 veröffentlichte CTS Labs Informationen zur Untersuchung von Sicherheitslücken, die einige AMD-Produkte betreffen. Hinsichtlich der HPE Server haben die relevanten Sicherheitslücken Auswirkungen auf den AMD Secure Processor (PSP), der in dem AMD EPYC-Prozessor der 7000-Serie verwendet wird, der auf den HPE ProLiant DL385 Gen10 und HPE Cloudline CL3150 Gen10 Servern verwendet wird. Keine anderen HPE Serverprodukte sind von diesen potenziellen Sicherheitsrisiken betroffen.
HPE arbeitet mit AMD zusammen, um das Ausmaß der Sicherheitslücke zu ermitteln und welche Vorsichtsmaßnahmen erforderlich sind, um mögliche Risiken zu minimieren. Glücklicherweise enthält der neue HPE DL385 Gen10 Server alle neuen HPE-Sicherheitsfunktionen, einschließlich HPE Silicon Root of Trust. Diese neue HPE-Technologie schützt vor typischen Denial-of-Service-Angriffen oder dauerhaften Denial-of-Service-Bedingungen, die durch einen Teil dieser Sicherheitslücke verursacht werden können.
Sobald HPE in Zusammenarbeit mit AMD mehr Informationen erhält, werden wir unsere Informationen entsprechend aktualisieren. Bitte beachten Sie auch die von AMD am 20. März veröffentlichte Erklärung.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Weitere Informationen erhalten Sie im HPE Support Center
-
Seitenkanal-Analysemethode (Spectre & Meltdown) erlaubt das Offenlegen vertraulicher Informationen in Mikroprozessoren (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754)
Kürzlich wurden als Seitenkanalanalyse (Spectre & Meltdown) bezeichnete Sicherheitslücken mit spekulativer Ausführung öffentlich bekanntgegeben. Diese Sicherheitslücken können sich auf die aufgelisteten HPE-Produkte auswirken und möglicherweise zur Offenlegung von Informationen und Erhöhung von Berechtigungen führen. Zur Behebung und Lösung dieser Sicherheitslücken kann sowohl ein Betriebssystem-Update vom Betriebssystemhersteller als auch ein System-ROM-Update von HPE erforderlich sein. Intel hat hier eine erste allgemeine Erklärung abgegeben.
Darüber hinaus möchten wir unsere Kunden auf eine Intel-Erklärung hinweisen, die am 22. Januar 2018 zu Problemen in Verbindung mit dem Microcode-Patch von Intel veröffentlicht wurde, der entwickelt wurde, um die als Seitenkanalanalyse (Side-Channel Analysis) bezeichnete Sicherheitslücke zu schließen. Intel empfiehlt, dass Kunden die Implementierung von HPE ProLiant, HPE Synergy, HPE Superdome Flex und HPE Superdome X System-ROMs einstellen, die den aktualisierten Mikrocode enthalten, und zur vorherigen Version des System ROM zurückkehren. Die unten stehenden Bewertungen der Auswirkungen wurden entsprechend aktualisiert. Weitere Informationen zu dieser Sicherheitslücke finden Sie im HPE Customer Guidance Pack und HPE Customer Advisory. Bitte beachten Sie, dass der HPE ProLiant DL385 Gen10 mit dem AMD-Mikrocode-Update wie vorgesehen funktioniert und die durch diese Seitenkanalanalyse-Sicherheitslücke entstehenden Risiken vermindert hat.
Bewertungen der Auswirkungen für HPE Produkte finden Sie hier
Links zu Patches für betroffene HPE Produkte finden Sie hier.
Weitere Informationen erhalten Sie im HPE Support Center
-
Firmware-Sicherheitslücke bei Intel Management Engine (ME) und Server Platform Services (SPS) (CVE-2017-5706/CVE-2017-5709)
Kürzlich hat einer unserer Lieferanten, Intel, eine potenzielle Sicherheitslücke in seiner Server Platform Services (SPS)-Firmware entdeckt. Die Sicherheitslücke betraf mehrere ihrer Prozessorarchitekturen, jedoch werden nicht alle betroffenen Intel Server-Prozessorarchitekturen in Produkten von HPE verwendet. Insbesondere kann die in der Intel-Architektur verwendete SPS/ME-Firmware durch physischen Zugriff manipuliert werden. Daher kann nicht authentifizierter Code in der SPS-Umgebung für den Benutzer und den Betriebssystemadministrators unbemerkt ausgeführt werden.
Diese Sicherheitslücken sind nicht auf HPE Server beschränkt und wirken sich auf alle Systeme aus, die die identifizierten Prozessorarchitekturen von Intel mit betroffenen Firmware-Revisionen verwenden.
Bewertungen der Auswirkungen für HPE Produkte als HTML oder Excel
Weitere Informationen erhalten Sie im HPE Support Center
-
WPA2 Key Reinstallation Attacks (auch bekannt als „Krack Attack“)
Am 16. Oktober 2017 haben die Sicherheitsforscher Mathy Vanhoef und Frank Piessens in ihrem veröffentlichten Paper „Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2“ Sicherheitslücken in Wi-Fi Protected Access II (WPA2) beschrieben. Bestimmter anfälliger WPA2-Handshake-Verkehr kann manipuliert werden, um die Wiederverwendung von Nonce- und Session-Schlüsseln zu veranlassen, was zu einer Schlüssel-Neuinstallation durch einen Wireless Access Point (AP) oder drahtlosen Client führt. Dies ermöglicht es einem Angreifer innerhalb der Reichweite eines betroffenen APs und drahtlosen Clients, beliebig Paketentschlüsselungen, Packet-Injection, TCP-Connection-Hijacking und HTTP-Content-Injection auszuführen.
Diese Sicherheitslücke hat folgende CVE-Nummern: CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088.
Bewertungen der Auswirkungen für HPE Produkte als HTML oder Excel
Weitere Informationen erhalten Sie im HPE Support Center
-
Sicherheitslücke in Apache Struts 2 – (CVE-2017-9805)
Das REST-Plugin in Apache Struts2 verwendet einen XStreamHandler mit einer XStream-Instanz für die Deserialisierung ohne Typfilterung, die bei der Deserialisierung von XML-Payloads zu Remotecodeausführung führen kann. Ein Angreifer könnte diesen Fehler nutzen, um beliebigen Code auszuführen oder weitere Angriffe durchzuführen.
Weitere Informationen zu CVE-2017-9805 finden Sie im MITER CVE-Wörterbuch und NIST NVD.
Bewertungen der Auswirkungen für HPE Produkte als HTML oder Excel
Weitere Informationen erhalten Sie im HPE Support Center
-
Sicherheitslücke Microsoft Windows WCry/WannaCry Ransomware MS17-010 (CVE-2017-0143 - CVE-2017-0148)
Am 12. Mai 2017 wurde ein Ransomware-Angriff von Unbekannten auf Microsoft Windows-Clients ausgeführt. Der Angriff führte dazu, dass PCs und Server als Teil eines Denial-of-Service-Angriffs vom Ransomwaretyp verschlüsselt wurden. Am 14. März 2017 veröffentlichte Microsoft den Patch MS17-010, um die Sicherheitslücke zu beheben. Weitere Informationen zu dieser Sicherheitslücke finden Sie im Microsoft-Bulletin -MS17-010 und unter NVD - CVE-2017-0143, CVE-2017-0144, CVE-2017-0145, CVE-2017-0146, CVE-2017-0147, CVE-2016-0148.
Bewertungen der Auswirkungen für HPE Produkte als HTML oder Excel
Weitere Informationen erhalten Sie im HPE Support Center
-
Sicherheitslücke in der Rechteausweitung bei Intel AMT - CVE-2017-5689
Am 1. Mai 2017 veröffentlichte Intel eine neue Sicherheitslücke in der Intel Manageability Firmware, die auf einigen Systemen mit Intel-Prozessoren verwendet wird. Über diese Sicherheitslücke kann sich ein Netzwerk- oder lokaler Angreifer unberechtigten Zugriff auf Remote-Verwaltungsfunktionen der Intel Active Management-Technologie (AMT), Intel Standard Manageability (ISM) und Intel Small Business Technology (SBT) Plattformen verschaffen. Zusätzliche Informationen zu dieser Sicherheitslücke finden Sie unter CVE-2017-5689.
Bewertungen der Auswirkungen für HPE Produkte als HTML oder Excel
Weitere Informationen erhalten Sie im HPE Support Center
-
Sicherheitslücke in Apache Struts 2 - (CVE-2017-9805)
Am 6. März 2017 hat Apache eine neue Sicherheitslücke in Apache Struts 2 entdeckt. Die Sicherheitslücke erlaubt die Remote-Codeausführung beim Hochladen von Dateien mit dem in Apache Struts 2 verwendeten Jakarta-Multipart-Parser. Dieser Fehler ermöglicht es einem Angreifer, einen HTTP-Header mit ungültigem Inhalt als Teil der Datei-Upload-Anfrage zu senden, die zur Ausführung von einem beliebigem Code auf dem verwundbaren System führen könnte. Der Angreifer kann so kritische Daten stehlen und/oder die Kontrolle über das betroffene System übernehmen. Zusätzliche Informationen zu dieser Sicherheitslücke finden Sie unter CVE-2017-5638.
Bewertung der Auswirkung auf das Produkt – HTML
-
Sicherheitslücke bei der Rechteausweitung im Linux Kernel („Dirty COW“)
Am 19. Oktober 2016 wurde im Linux Kernel eine Sicherheitsschwachstelle bei der Rechteausweitung aufgedeckt. Gefunden wurde eine Race Condition hinsichtlich der Art und Weise, wie das Arbeitsspeicher-Subsystem vom Linux Kernel die Copy-on-Write-Schwachstelle (COW) bei privaten Speicherzuordnungen mit Schreibschutz handhabt. Über diese Schwachstelle können sich lokale Benutzer unberechtigten Schreibzugriff auf Speicherzuordnungen verschaffen, für die sie ansonsten nur Lesezugriff hätten, und so erhöhte Zugriffsrechte im Linux Kernel erlangen. Diese Sicherheitsschwachstelle wird als „Dirty COW“ bezeichnet. Zusätzliche Informationen zu dieser Sicherheitslücke finden Sie unter CVE-2016-5195.
Bewertung der Auswirkung auf das Produkt – HTML
-
Sicherheitslücke im Handling der HTTP_PROXY Umgebungsvariablen („FalseCONNECT“)
Am 15. August 2016 wurde eine Sicherheitsschwachstelle mit der Bezeichnung „FalseCONNECT“ bei der Implementierung von HTTP 407 (Proxy-Authentifizierung erforderlich) für die CONNECT-Methode bekannt. Da diese Anfragen immer im Klartext über HTTP getätigt werden, sind sie anfällig für Man-in-the-Middle-Angriffe (MitM), die ausgeführt werden, um Benutzerinformationen auszuspähen, und in einigen Implementierungen stellen sie HTML und Skripte im Client-DOM innerhalb eines Sicherheitskontexts dar. Durch die Einspeisung und Manipulation von 407-Authentifizierungsheadern im Kontext der CONNECT-Methode kann ein Benutzer Phishing und Authentifizierungsherabstufungen ausgesetzt werden. Zusätzliche Informationen zu dieser Sicherheitsslücke finden Sie unter CERT VU#905344.
-
Sicherheitslücke in CGI-Anwendung („HTTPoxy“) für PHP, Go, Python und anderen
Am 18. Juli 2016 wurde eine Sicherheitsschwachstelle beim Handling der HTTP_PROXY-Umgebungsvariablen durch Webserver, Web-Frameworks und Programmiersprachen bekannt, die in CGI oder CGI-ähnlichen Umgebungen ausgeführt werden. Diese Sicherheitsschwachstelle wird als HTTPoxy bezeichnet. Ursprung der Schwachstelle sind vom Benutzer getätigte Eingaben zur Einrichtung der HTTP_PROXY-Umgebungsvariablen ohne ausreichende Validierung. Diese Schwachstelle könnte dazu führen, dass ein nicht authentifizierter, entfernter Angreifer einen Man-in-the-Middle-Angriff (MitM) vornimmt oder ausgehenden Datenverkehr auf einen willkürlichen Server umleitet, was wiederum zur Enthüllung von sensiblen Daten führen kann. Zusätzliche Informationen zu dieser Sicherheitslücke finden Sie unter CVE-HTTPoxy.
Bewertung der Auswirkung auf das Produkt – HTML
-
Cross-Protokoll-Angriff auf TLS mit SSLv2 (DROWN) – CVE-2016-0800
Am 1. März 2016 wurde ein neuer Angriff mit dem Namen DROWN (Decrypting RSA using Obsolete and Weakened eNcryption; Entschlüsseln von RSA durch veraltete und geschwächte Verschlüsselung) bekannt. Dabei handelt es sich um einen Cross-Protokoll-Angriff, bei dem die Sicherheitsschwachstelle in SSLv2 genutzt wird, um passiv erfasste TLS-Sitzungen zu entschlüsseln. Zusätzliche Informationen zu dieser Sicherheitslücke finden Sie unter CVE-2016-0800.
-
Stack-basierter Pufferüberlauf in der Funktion Getaddrinfo() der Glibc
Am 28. Juli 2015 wurde eine Sicherheitsschwachstelle bekannt, die DNS-Nameserver basierend auf ISC BIND betrifft. Diese Sicherheitsschwachstelle könnte einen per Remotezugriff auszunutzbaren Denial-of-Service (DoS) bei Servern ermöglichen, auf denen ISC BIND ausgeführt wird. Zusätzliche Informationen zur Sicherheitslücke in ISC BIND TKEY-Abfragen finden Sie unter CVE-2015-5477.
-
Sicherheitslücke beim Intel Prozessor (auch bekannt als „Memory Sinkhole“)
Am 16. Februar 2016 wurde eine Stack-basierte Pufferüberlauf-Sicherheitsschwachstelle in der GNU C-Bibliothek (Glibc) öffentlich bekannt. Die Schwachstelle wurde in der Bibliotheksfunktion getaddrinfo() der Glibc ermittelt. Anwendungen, die diese Funktion nutzen, können von Angreifern genutzt werden, indem auf dem betroffenen Gerät eine Remote-Codeausführung vorgenommen wird. Zusätzliche Informationen zu dieser Sicherheitsschwachstelle finden Sie auf der NIST-Website CVE-2015-7547.
-
Sicherheitslücke in ISC BIND TKEY-Abfrage – CVE-2015-5477
Übersicht
Am 6. August 2015 demonstrierte der Sicherheitsforscher Christopher Domas bei der Sicherheitskonferenz „Black Hat“ in Las Vegas die Installation eines Rootkits in die Firmware eines PCs. Domas bezeichnete die Demonstration scherzhaft als „Memory Sinkhole“. Bei diesem Angriff wurde ein in x86-Chips integriertes Feature genutzt, die seit Mitte der 1990er Jahre bis zur Veröffentlichung der Intel Xeon-Prozessorserie E5-2600 (d.h. Sandy Bridge-EP) im Jahr 2011 hergestellt wurden.
Die Sicherheitsschwachstelle existiert im Advanced Programmable Interrupt Controller (APIC), durch die ein Angriff auf den SMM-Speicherbereich (System Management Mode) möglich ist, der vom Betriebssystem als Schnittstelle mit der Boot-Umgebung wie BIOS, EFI oder UEFI genutzt wird. Ein Angreifer kann diese Sicherheitsschwachstelle ausnutzen, um die Ausführungsmodi mit den höchsten Berechtigungen zu nutzen, und sichere Features in der Boot-Umgebung potenziell zu überschreiben. Bei der Demonstration werden die UEFI-Kernfunktionen zur Installation eines Rootkits verwendet.
Potenzielle Auswirkungen
HPE hat die potenziellen Auswirkungen dieses Problems auf unsere Enterprise-Produkte (d.h. Server, Speicher und Netzwerke) untersucht und festgestellt, dass HPE ProLiant Server der Serien Gen8 und Gen9 nicht gefährdet sind, da Intel diesen Konstruktionsfehler in den Intel Xeon-Prozessoren der Serie E5-2600 sowie in nachfolgenden Serverprozessormodellen kürzlich behoben hat. Bitte beachten Sie, dass die Intel Xeon-Prozessorserie E5-2600 in ProLiant Gen 8 Servern zum Einsatz kommen.
Darüber hinaus hat HPE die potenziellen Auswirkungen dieses Problems auf HPE ProLiant Server der Serien G5, G6 und G7 untersucht und festgestellt, dass diese nicht durch den speziellen Angriff gefährdet sind, der von Christopher Domas bei der „Black Hat“-Sicherheitskonferenz demonstriert wurde. Intel stellt für diese Server ein Microcode-Update bereit, das die potenzielle Sicherheitsverletzung verhindert, falls ein Versuch unternommen wird, diese Sicherheitsschwachstelle auszunutzen. Als zusätzliche Sicherheitsvorkehrung plant HPE die Implementierung dieses Microcodes in aktualisierte ProLiant System ROMs, die für Kunden kostenlos als Download im HPE Support Center zur Verfügung stehen werden.
Was Sie tun können
Überprüfen Sie diese Seite auf Updates hinsichtlich der Verfügbarkeit aktualisierter System-ROMs für ProLiant Server der Serien G5, G6, und G7.
-
OpenSSL Alternative Chains Certificate Forgery-Sicherheitslücke
Am 9. Juli 2015 veröffentliche OpenSSL eine Schwachstelle hinsichtlich der Art und Weise, wie alternative Zertifikatsketten verifiziert werden. Dies betrifft jedoch nur Versionen von OpenSSL, die nach Juni 2015 herausgegeben wurden: v1.0.2c, v1.0.2b, v1.0.1o und v1.0.1n. Durch die Ausnutzung dieser Sicherheitsschwachstelle könnte ein Angreifer bestimmte Zertifikatvalidierungsprüfungen umgehen, und ein ungültiges Zertifikat erstellen. Zusätzliche Informationen zur VENOM-Sicherheitsschwachstelle finden Sie auf der NIST-Website CVE-2015-1793.
-
VENOM-Sicherheitslücke – CVE-2015-3456
Am 13. Mai 2015 wurde eine Sicherheitsschwachstelle im virtuellen Diskettenlaufwerk-Code bekannt, der von zahlreichen Virtualisierungsplattformen verwendet wird. Durch Ausnutzung dieser Sicherheitsschwachstelle könnte ein Angreifer dem betroffen Gastsystem der virtuellen Maschine (VM) entkommen und potenziell einen Code auf dem Host ausführen. Zusätzliche Informationen zur VENOM-Sicherheitsschwachstelle finden Sie auf der NIST-Website CVE-2015-3456.
-
Glibc „GHOST“-Sicherheitslücke
Am 27. Januar 2015 wurde eine Pufferüberlauf-Sicherheitslücke in der GNU C-Bibliothek (Glibc) öffentlich bekannt. Die Schwachstelle wurde in den gethostbyname-Funktionen der GNU C-Bibliothek (Glibc) ermittelt und könnte zur Ausführung eines willkürlichen Codes genutzt werden. Zusätzliche Informationen zu dieser Sicherheitsschwachstelle finden Sie auf der NIST-Website CVE-2015-0235.
-
SSLv3 POODLE-Sicherheitslücke – CVE-2014-3566
Am 14. Oktober 2014 wurde eine Sicherheitsschwachstelle im SSLv3-Protokoll bekannt gegeben. Durch die Ausnutzung dieser Sicherheitsschwachstelle könnte ein Angreifer Teile des verschlüsselten Datenverkehrs mittels eines POODLE-Angriffs (Padding Oracle on Downgraded Legacy Encryption) entschlüsseln. Zusätzliche Informationen zur SSLv3 POODLE-Sicherheitsschwachstelle finden Sie auf der NIST-Website CVE-2014-3566.
-
GNU Bourne Again Shell (Bash) „Shellshock“-Sicherheitslücke
Eine kürzlich ermittelte Bash-Sicherheitsschwachstelle mit Auswirkungen auf Unix-basierte Betriebssysteme wie Linux und Mac OS X wurde am 24. September 2014 bekannt. Die Ausnutzung dieser Sicherheitsschwachstelle kann dazu führen, dass ein entfernter Angreifer einen willkürlichen Code auf einem betroffenen System ausführt. Weitere Informationen zu diesem Problem finden Sie unter CVE-2014-7169.
-
HeartBleed-Sicherheitslücke in OpenSSL
Am 8. April 2014 wurde HPE über eine OpenSSL-Sicherheitsschwachstelle CVE-2014-0160 unterrichtet (jetzt als "Heartbleed" bekannt). Diese Sicherheitsschwachstelle hat in hohem Maße Aufmerksamkeit der Medien erhalten. Im Bereich „Ressourcen“ finden Sie einen Link zum Eintrag der National Vulnerability Database, in dem die Schwachstelle im Detail beschrieben wird. OpenSSL wird in einigen HPE Produkten zur Verschlüsselung und Bereitstellung von SSL-Services verwendet.
Produktsupport
Technischen Produktsupport erhalten Sie im HPE Support Center.
HPE Security and Digital Protection Services