Zero-Day erlaubt Codeausführung in WindChill und FlexPLM

Summary

Zero-Day erlaubt Codeausführung in WindChill und FlexPLM Die Software Windchill und FlexPLM enthält ein Sicherheitsleck, das Codeausführung erlaubt. Der Hersteller ruft dringend dazu auf, Sicherheitsmaßnahmen zu ergreifen – ein Patch ist zur Stunde noch nicht verfügbar. Weiterlesen nach der Anzeige Informationen zur Sicherheitslücke sind spärlich, weder eine CVE-Kennung noch Warnungen der nationalen CERTs (Computer Emergency Response Team) sind verfügbar. Der Hersteller und seine Partner scheinen jedoch beunruhigt: Sie vergeben die Höchstwertung von 10.0 Punkten auf der CVSS-Skala und drängen Kunden, umgehend zu reagieren. Offenbar versteckt der Fehler sich in der Deserialisierung der Servlets /servlet/WindchillGW/com.ptc.wvs.server.publish.Publish und /servlet/WindchillAuthGW/com.ptc.wvs.server.publish.Publish. Sind diese für einen Angreifer zugänglich, etwa weil der Windchill-Server aus dem Internet erreichbar ist, kann er Code einschleusen und ausführen. Viele Versionen betroffen Die Lücke betrifft gemäß dem extrem knappen Sicherheitshinweis in der Knowledge Base des Herstellers PTC folgende Versionen: Windchill PDMLink 11.0 M030Windchill PDMLink 11.1 M020Windchill PDMLink 11.2.1.0Windchill PDMLink 12.0.2.0Windchill PDMLink 13.0.2.0Windchill PDMLink 13.1.0.0Windchill PDMLink 13.1.1.0Windchill PDMLink 13.1.2.0Windchill PDMLink 13.1.3.0Windchill PDMLink 12.1.2.0FlexPLM 11.0 M030FlexPLM 11.1 M020FlexPLM 11.2.1.0FlexPLM 12.0.0.0FlexPLM 12.0.2.0FlexPLM 12.0.3.0FlexPLM 12.1.2.0FlexPLM 12.1.3.0FlexPLM 13.0.2.0FlexPLM 13.0.3.0 Notlösung: Zugriff per Apache-Konfiguration einschränken Weiterlesen nach der Anzeige Bis ein Patch zur Verfügung steht, sollen Admins zu einer Notlösung greifen. Wie der Windchill-Dienstleister EAC in einer Aussendung an seine Kunden beschreibt, ist dazu eine Konfigurationsänderung des Apache-Webservers notwendig. Das, so EAC, sollte unverzüglich geschehen, um die Gefahr eines Exploits zu neutralisieren. Erstellen einer neuen Konfigurationsdatei <...