Re: [KitodoDev] Sicherheitshinweis zu Kitodo.Production

Liebe Kolleginnen und Kollegen, ich wurde darauf aufmerksam gemacht, dass mir bei der Fehlerbeschreibung ein Fehler unterlaufen ist: Die ViewState-Verschlüsselung und das mit deren Abschaltung einhergehende Sicherheitsrisiko ist unabhängig von der in Bug #367 beschriebenen Java-Bibliothek. Deren in 2015 behobene Schwachstelle war zwar auf denselben grundsätzlichen Angriffsvektor zurückzuführen (Remote Code Execution durch Injektion eines serialisierten Java-Objekts), das Problem besteht an sich aber auch unabhängig von der Apache Commons Collections Bibliothek. Bitte entschuldigen Sie die Verwirrung! Am grundsätzlichen Risiko ändert sich dadurch aber nichts. Achten Sie zur Sicherheit Ihrer Java-Webapplikationen generell immer darauf, die ViewState-Verschlüsselung nicht zu deaktivieren – unabhängig von der Verwendung der Apache Commons Collections. Viele Grüße Sebastian Meyer Im Namen des Release Managements Von: Meyer, Sebastian Gesendet: Donnerstag, 4. Oktober 2018 21:53 An: kitodo-community(a)kitodo.org; kitodo-developer(a)kitodo.org; kitodo-verein(a)kitodo.org Betreff: Sicherheitshinweis zu Kitodo.Production Liebe Kolleginnen und Kollegen, aus gegebenem Anlass möchte ich Sie auf ein potentielles Sicherheitsrisiko beim Betrieb von Kitodo.Production 2.x hinweisen. Bereits Ende 2015 wurde im Zusammenhang mit einer Sicherheitslücke in einer von Kitodo verwendeten Java-Bibliothek eine Aktualisierung dieser Komponente vorgenommen (vgl. https://github.com/kitodo/kitodo-production/issues/367). Die seither verwendete Version der Bibliothek verwendet eine Verschlüsselung des sogenannten ViewState zur Absicherung und schließt somit die Sicherheitslücke. Diese Verschlüsselung kann jedoch manuell in der Tomcat-Konfiguration abgeschaltet werden, was Kitodo erneut angreifbar macht. Bitte beachten Sie, dass die Verschlüsselung standardmäßig aktiviert ist. Es besteht für aktuelle Installationen von Kitodo.Production also keine Gefahr, sofern Sie die Standardeinstellung nicht geändert haben. Um Ihre Installation dennoch sicherheitshalber zu überprüfen, finden Sie hier mehr Informationen: https://www.alphabot.com/security/blog/2017/java/Misconfigured-JSF-ViewStat… Herzlichen Dank an den anonymen Hinweisgeber! Viele Grüße Sebastian Meyer im Namen des Release Management