Crowd - Die LDAP Java Objekt-Injektion ergibt eine Remote-Code Ausführung - CVE-2016-6496

Zusammenfassung der Schwachstelle

Diese Empfehlung informiert über eine kritische Sicherheitslücke, die in der Crowd-Version 1.4.1 hervor ging. Crowd-Versionen von 1.4.1 bis 2.8.8 (die gefixte Version für 2.8.x) und von 2.9.0 bis 2.9.5 (die gefixte Version 2.9.x) sind von dieser Schwachstelle betroffen.

Crowd LDAP Java Objekt-Injektion (CVE-2016-6496)

Schweregrad

Atlassian stuft den Schweregrad dieser Schwachstelle, gemäß der Skala auf der Seite über die Schweregrade, als kritisch ein. Die Skala erlaubt es Atlassian Schwachstellen als kritisch, hoch, moderat oder niedrig einzustufen.

Dies ist eine unabhängige Bewertung, dessen Anwendbarkeit auf Ihre IT-Umgebung Sie überprüfen sollten.

Beschreibung

Der Crowd LDAP-Verzeichnis-Konnektor erlaubte einem Angreifer, durch die Injizierung böswilliger Attribute in LDAP-Einträge, die Ausführung eines Codes in Crowd aus der Ferne. Um diesen Fehler auszunutzen, müssen Angreifer entweder einen Eintrag in einem LDAP-Verzeichnis konfigurieren, welches von Crowd verwendet werden kann oder erfolgreich eine Man-in-The-Middle Attacke zwischen einem LDAP-Server und Crowd ausführen. Crowd-Installationen, die so konfiguriert sind, dass sie mit LDAPs Protokoll mit der aktivierten Secure SSL Option mit einem LDAP-Server kommunizieren, sind gegen Man-in-The-Middle Attacken immun (außer der Angreifer ist in der Lage den Private Key des SSL-/TLS-Zertifikats herauszufinden, der für die Verschlüsselung der Kommunikation verantwortlich ist).

Alle Crowd-Versionen von 1.4.1 bis unter 2.8.8 (die gefixte Version für 2.8.x) und von 2.9.0 bis unter 2.9.5 (die gefixte Version für 2.9.x) sind von dieser Schwachstelle betroffen. Dieser Vorgang kann hier weiterverfolgt werden: CWD-4790 - CVE-2016-6496: LDAP Java Object Injection in Crowd CLOSED.

Danksagungen

Atlassian möchte Alvaro Munoz und Alexander Mirosh von HPE Security Fortify für das Melden dieses Fehlers danken.

Behebung

Atlassian hat folgende Schritte unternommen, um diesen Fehler zu beheben:

1. Crowd-Version 2.10.1 wurde mit einem Fix für dieses Problem veröffentlicht.
2. Crowd-Version 2.9.5 wurde mit einem Fix für dieses Problem veröffentlicht.
3. Crowd-Version 2.8.8 wurde mit einem Fix für dieses Problem veröffentlicht.
4. Jira Core Version 7.2.1 wurde mit einem Fix für dieses Problem veröffentlicht.
5. Confluence-Version 5.10.6 wurde mit einem Fix für dieses Problem veröffentlicht.
6. Bitbucket Server Version 4.10.0 wurde mit einem Fix für dieses Problem veröffentlicht.
7. Fisheye und Crucible Version 4.2.0 wurde mit einem Fix für dieses Problem veröffentlicht.

Was Sie tun müssen

Upgrade (empfohlen)

Die Schwachstellen und Fix-Versionen sind im Abschnitt "Beschreibung" oben dargelegt. Atlassian empfiehlt Ihnen das Upgrade auf die neueste Version.

Aktualisieren Sie Crowd auf die Version 2.10.1 oder höher.

Wenn Sie Crowd 2.9.x verwenden und nicht auf Crowd 2.10.1 upgraden können, aktualisieren Sie stattdessen auf die Version 2.9.5.

Wenn Sie Crowd 2.8.x verwenden und nicht auf Crowd 2.9.5 upgraden können, aktualisieren Sie stattdessen auf die Version 2.8.8.

Für eine vollständige Beschreibung der neuesten Crowd-Version, lesen Sie die Release Notes. Sie können die neueste Crowd-Version aus dem Download Center herunterladen.

Aktualisieren Sie Jira Core (ebenfalls erforderlich wenn Sie Jira Software oder Jira Service Desk verwenden) auf die Version 7.2.1 oder höher.

Für eine vollständige Beschreibung der neuesten Jira Core Version, lesen Sie bitte die Release Notes. Sie können die neueste Jira-Version aus dem Download Center herunterladen.

Aktualisieren Sie Confluence auf die Version 5.10.6 oder höher.

Für eine vollständige Beschreibung der neuesten Confluence-Version, lesen Sie die Release Notes. Sie können die neueste Jira-Version aus dem Download Center herunterladen.

Aktualisieren Sie Bitbucket Server auf die Version 4.10.0 oder höher.

Für eine vollständige Beschreibung der neuesten Bitbucket Server Version, lesen Sie die Release Notes. Sie können die neueste Bitbucket Server Version aus dem Download Center herunterladen.

Aktualisieren Sie Fisheye und Crucible auf die Version 4.2.0 oder höher.

Für eine vollständige Beschreibung der neuesten Fisheye und Crucible Version, lesen Sie die Release Notes. Sie können die neueste Fisheye und Crucible Version aus dem Download Center herunterladen.

Risikominimierung

Dieses Problem kann abgeschwächt werden, indem die Modifizierungen der LDAP-Einträge von LDAP-Benutzern eingeschränkt werden und die SSL-/TLS-Verbindung zwischen LDAP-Server und Crowd konfiguriert wird.

Wenn Sie Crowd 2.8.x verwenden und nicht auf 2.8.8 oder 2.9.5 upgraden können, dann können Sie die folgenden Schritte vornehmen, um das Problem abzuschwächen:

1. Konfigurieren Sie die SSL-/TLS-Verbindung zwischen einem LDAP-Server und Crowd. Lesen Sie die Seite über die Konfiguration von Crowd für die Funktion mit SSL für weitere Informationen über die Einrichtung von sicheren Übertragungen.
2. Schränken Sie die Modifikation der LDAP-Einträge von LDAP-Benutzern ein. Die folgenden Einschränkungen sollten implementiert werden:
   
   • Die Benutzer sollten nicht in der Lage sein zusätzliche Objektklassen zu ihren LDAP-Einträgen hinzuzufügen ("javaContainer", "javaObject", "javaNamingReference", "javaSerializedObject", "javaMarshalledObject")
   • Die Benutzer sollten nicht in der Lage sein Attribute zu manipulieren, die mit der Speicherung von Java-Objekten in einem LDAP-Verzeichnis zu tun haben ("javaSerializedData", "javaClassName", "javaFactory", "javaCodeBase", "javaReferenceAddress", "javaClassNames", "javaRemoteLocation")

Support

Wenn Sie Bedenken oder Fragen bezüglich dieser Empfehlung haben, reichen Sie bitte eine Support-Anfrage unter https://support.atlassian.com/ ein.

Referenzen