L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de iPlanet Web Server

annonce de vulnérabilité CVE-2013-1620 CVE-2013-1739 CVE-2013-1740

Oracle Fusion : multiples vulnérabilités de juillet 2014

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de Oracle Fusion ont été annoncées en juillet 2014.
Produits concernés : Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Manager, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, WebLogic, Oracle Web Tier.
Gravité : 3/4.
Date création : 16/07/2014.
Références : CERTFR-2014-AVI-313, cpujul2014, CVE-2013-1620, CVE-2013-1739, CVE-2013-1740, CVE-2013-1741, CVE-2013-5605, CVE-2013-5606, CVE-2013-5855, CVE-2014-1490, CVE-2014-1491, CVE-2014-1492, CVE-2014-2479, CVE-2014-2480, CVE-2014-2481, CVE-2014-2493, CVE-2014-4201, CVE-2014-4202, CVE-2014-4210, CVE-2014-4211, CVE-2014-4212, CVE-2014-4217, CVE-2014-4222, CVE-2014-4241, CVE-2014-4242, CVE-2014-4249, CVE-2014-4251, CVE-2014-4253, CVE-2014-4254, CVE-2014-4255, CVE-2014-4256, CVE-2014-4257, CVE-2014-4267, VIGILANCE-VUL-15052.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Fusion.

Plusieurs vulnérabilités impactent NSS (VIGILANCE-VUL-13598, VIGILANCE-VUL-13789, VIGILANCE-VUL-14099, VIGILANCE-VUL-14456) dans Oracle GlassFish Server, Oracle iPlanet Web Proxy Server et Oracle iPlanet Web Server. [grav:3/4; CVE-2013-1739, CVE-2013-1740, CVE-2013-1741, CVE-2013-5605, CVE-2013-5606, CVE-2014-1490, CVE-2014-1491, CVE-2014-1492]

Un attaquant peut employer une vulnérabilité de Oracle WebCenter Portal, afin d'obtenir des informations. [grav:3/4; CVE-2014-4257]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-2481]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-2480]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4255]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4254]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-2479]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4267]

Un attaquant peut employer une vulnérabilité de Oracle JDeveloper, afin d'obtenir des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-2493]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir ou d'altérer des informations. [grav:3/4; CVE-2014-4256]

Un attaquant peut employer une vulnérabilité de BI Publisher, afin d'obtenir des informations. [grav:2/4; CVE-2014-4249]

Un attaquant peut employer une vulnérabilité de Oracle WebCenter Portal, afin d'altérer des informations. [grav:2/4; CVE-2014-4211]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin de mener un déni de service. [grav:2/4; CVE-2014-4201]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin de mener un déni de service. [grav:2/4; CVE-2014-4202]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations. [grav:2/4; CVE-2014-4210]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin de mener un déni de service. [grav:2/4; CVE-2014-4253]

Un attaquant peut employer une vulnérabilité de GlassFish Communications Server, afin d'obtenir des informations. [grav:2/4; CVE-2013-1620]

Un attaquant peut employer une vulnérabilité de Oracle Fusion Middleware, afin d'obtenir des informations. [grav:2/4; CVE-2014-4212]

Un attaquant peut employer une vulnérabilité de Oracle GlassFish Server, afin d'altérer des informations. [grav:2/4; CVE-2013-5855]

Un attaquant peut employer une vulnérabilité de Oracle JDeveloper, afin d'altérer des informations. [grav:2/4; CVE-2013-5855]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'altérer des informations. [grav:2/4; CVE-2014-4242]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'altérer des informations. [grav:2/4; CVE-2014-4217]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'altérer des informations. [grav:2/4; CVE-2014-4241]

Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'altérer des informations. [grav:2/4; CVE-2013-5855]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'altérer des informations. [grav:2/4; CVE-2014-4251]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'obtenir des informations. [grav:1/4; CVE-2014-4222]
Bulletin Vigil@nce complet.... (essai gratuit)

avis de vulnérabilité informatique CVE-2007-0009 CVE-2007-1858 CVE-2012-3499

Oracle Fusion : multiples vulnérabilités de janvier 2014

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de Oracle Fusion ont été annoncées en janvier 2014.
Produits concernés : Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Manager, Oracle Internet Directory, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Oracle Portal, Oracle Web Tier, Sun AS.
Gravité : 3/4.
Date création : 15/01/2014.
Références : BID-64815, BID-64819, BID-64822, BID-64827, BID-64829, BID-64830, BID-64835, BID-64838, BID-64842, CERTA-2014-AVI-022, cpujan2014, CVE-2007-0009, CVE-2007-1858, CVE-2012-3499, CVE-2012-3544, CVE-2012-4605, CVE-2013-1620, CVE-2013-1654, CVE-2013-1862, CVE-2013-4316, CVE-2013-5785, CVE-2013-5808, CVE-2013-5869, CVE-2013-5900, CVE-2013-5901, CVE-2014-0374, CVE-2014-0383, CVE-2014-0391, CVE-2014-0400, VIGILANCE-VUL-14089.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Fusion.

Un attaquant peut employer une vulnérabilité de Oracle WebCenter Sites, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-4316]

Un attaquant peut employer une vulnérabilité de Oracle Reports Developer, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64819, CVE-2013-5785]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2007-0009]

Un attaquant peut employer une vulnérabilité de Oracle Internet Directory, afin d'obtenir des informations. [grav:3/4; BID-64822, CVE-2014-0400]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; CVE-2013-1862]

Un attaquant peut employer une vulnérabilité de Oracle Enterprise Data Quality, afin de mener un déni de service. [grav:2/4; CVE-2012-3544]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'altérer des informations. [grav:2/4; CVE-2013-1654]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'obtenir des informations. [grav:2/4; CVE-2012-4605]

Un attaquant peut employer une vulnérabilité de Oracle Identity Manager, afin d'obtenir des informations. [grav:2/4; BID-64829, CVE-2014-0391]

Un attaquant peut employer une vulnérabilité de Oracle WebCenter Portal, afin d'obtenir des informations. [grav:2/4; BID-64835, CVE-2013-5869]

Un attaquant peut employer une vulnérabilité de Oracle GlassFish Server, afin d'obtenir des informations. [grav:2/4; CVE-2013-1620]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'altérer des informations. [grav:2/4; CVE-2012-3499]

Un attaquant peut employer une vulnérabilité de Oracle Identity Manager, afin d'altérer des informations. [grav:2/4; BID-64838, CVE-2013-5900]

Un attaquant peut employer une vulnérabilité de Oracle Identity Manager, afin d'obtenir des informations. [grav:2/4; BID-64815, CVE-2013-5901]

Un attaquant peut employer une vulnérabilité de Oracle Portal, afin d'altérer des informations. [grav:2/4; BID-64830, CVE-2014-0374]

Un attaquant peut employer une vulnérabilité de Oracle Traffic Director, Oracle iPlanet Web Server et Oracle iPlanet Web Proxy Server, afin d'obtenir des informations. [grav:2/4; CVE-2013-1620]

Un attaquant peut employer une vulnérabilité de Oracle Identity Manager, afin d'obtenir des informations. [grav:2/4; BID-64842, CVE-2014-0383]

Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'obtenir des informations. [grav:1/4; CVE-2007-1858]

Un attaquant peut employer une vulnérabilité de Oracle iPlanet Web Proxy Server, afin d'obtenir des informations. [grav:1/4; BID-64827, CVE-2013-5808]
Bulletin Vigil@nce complet.... (essai gratuit)

avis de vulnérabilité informatique CVE-2012-1738

Oracle iPlanet Web Server : déni de service

Synthèse de la vulnérabilité

Un attaquant peut mener un déni de service sur Oracle iPlanet Web Server.
Produits concernés : Oracle iPlanet Web Server, Oracle Web Tier.
Gravité : 2/4.
Date création : 18/07/2012.
Références : BID-54515, CERTA-2012-AVI-393, cpujul2012, CVE-2012-1738, VIGILANCE-VUL-11779.

Description de la vulnérabilité

Un attaquant peut mener un déni de service sur Oracle iPlanet Web Server.

Les détails techniques ne sont pas connus.
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité CVE-2012-0516

Oracle iPlanet Web Server : vulnérabilité de Administration Console

Synthèse de la vulnérabilité

Un attaquant peut employer une vulnérabilité de la console d'administration web de Oracle iPlanet Web Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service.
Produits concernés : Oracle iPlanet Web Server, Oracle Web Tier.
Gravité : 3/4.
Date création : 18/04/2012.
Références : BID-53133, CERTA-2012-AVI-220, cpuapr2012, CVE-2012-0516, VIGILANCE-VUL-11551.

Description de la vulnérabilité

Un attaquant peut employer une vulnérabilité de la console d'administration web de Oracle iPlanet Web Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service.

Les détails techniques ne sont pas connus.
Bulletin Vigil@nce complet.... (essai gratuit)

avis de vulnérabilité CVE-2011-3414 CVE-2011-4461 CVE-2011-4462

Multiple : déni de service via collision de hachés

Synthèse de la vulnérabilité

Un attaquant peut envoyer des données provoquant des collisions de stockage, afin de surcharger un service.
Produits concernés : CheckPoint Endpoint Security, CheckPoint Security Gateway, Debian, Fedora, WebSphere AS, IIS, .NET Framework, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 7, Windows Vista, Windows XP, openSUSE, Oracle AS, Oracle Communications, Oracle DB, Oracle GlassFish Server, Oracle Identity Manager, Oracle iPlanet Web Server, WebLogic, Oracle Web Tier, RHEL.
Gravité : 3/4.
Date création : 28/12/2011.
Date révision : 22/02/2012.
Références : 1506603, 2638420, 2659883, BID-51186, BID-51194, BID-51195, BID-51196, BID-51197, BID-51199, BID-51235, BID-51441, CERTA-2011-AVI-727, CERTA-2011-AVI-728, CVE-2011-3414, CVE-2011-4461, CVE-2011-4462, CVE-2011-4885, CVE-2011-5034, CVE-2011-5035, CVE-2011-5036, CVE-2011-5037, CVE-2012-0039, CVE-2012-0193, CVE-2012-0839, DSA-2783-1, DSA-2783-2, FEDORA-2012-0730, FEDORA-2012-0752, MS11-100, n.runs-SA-2011.004, oCERT-2011-003, openSUSE-SU-2012:0262-1, PM53930, RHSA-2012:1604-01, RHSA-2012:1605-01, RHSA-2012:1606-01, RHSA-2013:1455-01, RHSA-2013:1456-01, sk66350, VIGILANCE-VUL-11254, VU#903934.

Description de la vulnérabilité

Une table de hachage permet de stocker des informations, sous la forme de clés pointant vers des valeurs. Chaque clé est convertie en un entier, qui sert à indexer la zone où stocker les données. Par exemple :
 - cléA est convertie en 34
 - cléB est convertie en 13
Les données sont alors stockées en position 34 et 13.

En général, ces clés génèrent des entiers uniformément répartis sur la zone de stockage (qui va par exemple de 0 à 99). Cependant, si un attaquant calcule ses clés afin qu'elles soient converties dans le même entier (par exemple 34), tous les données sont stockées au même endroit (à l'indice 34). Le temps d'accès à ces données est alors très long.

Un formulaire HTTP posté permet d'envoyer de nombreuses variables. Par exemple : var1=a, var2=b, etc. Les serveurs web stockent généralement ces variables dans une table de hachage. Cependant, si l'attaquant calcule ses clés (noms de variables) afin qu'elles soient toutes stockées au même endroit, il peut surcharger le serveur.

D'autres fonctionnalités, comme un analyseur JSON ou des services annexes, peuvent aussi servir de vecteur d'attaque.

Les produits suivants sont aussi affectés :
 - Apache APR (VIGILANCE-VUL-11380)
 - Apache Xerces-C++ (VIGILANCE-VUL-15082)
 - Apache Xerces Java (VIGILANCE-VUL-15083)
 - expat (VIGILANCE-VUL-11420)
 - Java Lightweight HTTP Server (VIGILANCE-VUL-11381)
 - Java Langage (VIGILANCE-VUL-11715)
 - libxml2 (VIGILANCE-VUL-11384)
 - PHP (VIGILANCE-VUL-11379)
 - Python (VIGILANCE-VUL-11416)
 - Ruby (VIGILANCE-VUL-11382)
 - Tomcat (VIGILANCE-VUL-11383)

Un attaquant peut donc envoyer des données provoquant des collisions de stockage, afin de surcharger un service.
Bulletin Vigil@nce complet.... (essai gratuit)

avis de vulnérabilité CVE-2011-3389 CVE-2012-1870

SSL, TLS : obtention de cookie HTTPS, BEAST

Synthèse de la vulnérabilité

Un attaquant, qui peut contrôler les connexions HTTPS du navigateur web de la victime et qui dispose de bande passante suffisante, peut employer de nombreuses sessions SSL afin de calculer les entêtes HTTP, comme les cookies.
Produits concernés : IPSO, SecurePlatform, CheckPoint Security Gateway, Debian, BIG-IP Appliance, Fedora, HP-UX, Domino, MES, Mandriva Linux, IIS, IE, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 7, Windows Vista, Windows XP, OpenJDK, openSUSE, Opera, Oracle GlassFish Server, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Oracle Java, Oracle Web Tier, SSL (protocole), RHEL, Sun AS, SUSE Linux Enterprise Desktop, SLES, Nessus.
Gravité : 1/4.
Date création : 26/09/2011.
Références : 2588513, 2643584, 2655992, BID-49778, BID-54304, c03122753, CERTA-2012-AVI-381, CVE-2004-2770-REJECT, CVE-2011-3389, CVE-2012-1870, DSA-2368-1, DSA-2398-1, DSA-2398-2, FEDORA-2012-5916, FEDORA-2012-5924, FEDORA-2012-9135, FEDORA-2014-13764, FEDORA-2014-13777, HPSBUX02730, javacpuoct2011, MDVSA-2012:058, MDVSA-2012:096, MDVSA-2012:096-1, MDVSA-2012:097, MS12-006, MS12-049, openSUSE-SU-2012:0030-1, openSUSE-SU-2012:0063-1, openSUSE-SU-2012:0199-1, openSUSE-SU-2012:0229-1, openSUSE-SU-2012:0667-1, RHSA-2012:0034-01, RHSA-2013:1455-01, RHSA-2013:1456-01, sk74100, sk86440, SOL13400, SSRT100710, SUSE-SU-2012:0114-1, SUSE-SU-2012:0114-2, SUSE-SU-2012:0122-1, SUSE-SU-2012:0122-2, swg21568229, VIGILANCE-VUL-11014, VU#864643.

Description de la vulnérabilité

Le protocole SSL/TLS supporte les chiffrements CBC (Cipher Block Chaining) : un bloc clair est "XORé" (opération OU Exclusif) avec le dernier bloc chiffré, puis le tout est chiffré. Cette dépendance entre un bloc et son bloc précédent a fait l'objet de plusieurs études théoriques depuis 2002, et a conduit à la définition de TLS 1.1 en 2006, qui utilise un algorithme différent.

Le "protocole" HTTPS, utilisé par les navigateurs web, encapsule une session HTTP dans une session SSL/TLS. Une requête HTTP est de la forme :
  GET /abcdefg HTTP/1.0
  Entêtes (cookies)
  ...
Cette requête est fragmentée en bloc de 8 octets, qui sont chiffrés par CBC. Le premier bloc est alors "GET /abc".

Un attaquant peut mettre en place un site web illicite, et inviter la victime à s'y connecter. Ce site web peut demander au navigateur web de la victime de charger la page "/abcdefg" du site sécurisé par SSL/TLS.

L'attaquant contrôle la taille de l'url demandée (via "/abcdefg"), et il peut donc positionner le premier octet des entêtes à la fin d'un bloc (dont les 7 autres octets sont connus : "P/1.1\r\n"). Ce bloc suit un bloc entièrement connu ("defg HTT"). L'attaquant peut ensuite intercepter la session SSL/TLS chiffrée, et mémoriser le dernier bloc chiffré. Ce bloc sert de vecteur d'initialisation pour calculer un XOR avec le chiffré de "defg HTT" (bloc 2), et un caractère deviné placé en fin de "P/1.1\r\n" (bloc 3). Le résultat est réinjecté par l'attaquant en fin de requête HTTP en clair. Il observe le bloc résultant chiffré, et s'il est le même que le troisième bloc chiffré, alors le caractère deviné était correct. L'équation simplifiée est :
  chiffré(IV XOR (IV XOR ChiffréDeBloc2 XOR ClairDeBloc3Deviné)) =
  chiffré(ChiffréDeBloc2 XOR ClairDeBloc3Deviné) =
  ChiffréDeBloc3
L'attaquant répète ces requêtes autant de fois que nécessaire.

Un attaquant, qui peut contrôler les connexions HTTPS du navigateur web de la victime et qui dispose de bande passante suffisante, peut donc employer de nombreuses sessions SSL afin de calculer les entêtes HTTP, comme les cookies.
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité CVE-2010-4476

Java JRE : déni de service via un réel

Synthèse de la vulnérabilité

Un attaquant peut employer un nombre réel double spécial, afin de provoquer une boucle infinie dans les programmes Java.
Produits concernés : Debian, Fedora, HP BAC, HP NNMi, OpenView, OpenView NNM, Tru64 UNIX, HP-UX, AIX, DB2 UDB, Tivoli Directory Server, Tivoli Storage Manager, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS, WebSphere MQ, JBoss AS, MES, Mandriva Linux, NLD, OES, OpenJDK, openSUSE, Oracle iPlanet Web Server, Oracle Java, Oracle Web Tier, RHEL, Red Hat JBoss EAP, SLES.
Gravité : 3/4.
Date création : 02/02/2011.
Références : 1468291, BID-46091, c02729756, c02738573, c02746026, c02752210, c02775276, c02826781, c02906075, c03090723, c03316985, CERTA-2002-AVI-271, CERTA-2012-AVI-286, cpuapr2011, CVE-2010-4476, DSA-2161-1, DSA-2161-2, FEDORA-2011-1231, FEDORA-2011-1263, HPSBMU02690, HPSBTU02684, HPSBUX02633, HPSBUX02641, HPSBUX02642, HPSBUX02645, HPSBUX02685, HPSBUX02725, HPSBUX02777, IZ94331, javacpufeb2011, MDVSA-2011:054, openSUSE-SU-2011:0126-1, PM32175, PM32177, PM32184, PM32192, PM32194, RHSA-2011:0210-01, RHSA-2011:0211-01, RHSA-2011:0212-01, RHSA-2011:0213-01, RHSA-2011:0214-01, RHSA-2011:0282-01, RHSA-2011:0290-01, RHSA-2011:0291-01, RHSA-2011:0292-01, RHSA-2011:0299-01, RHSA-2011:0333-01, RHSA-2011:0334-01, RHSA-2011:0336-01, RHSA-2011:0348-01, RHSA-2011:0349-01, RHSA-2011:0880-01, SSRT100387, SSRT100390, SSRT100412, SSRT100415, SSRT100505, SSRT100569, SSRT100627, SSRT100854, SUSE-SA:2011:010, SUSE-SA:2011:014, SUSE-SR:2011:008, SUSE-SU-2011:0823-1, swg21469266, swg24030066, swg24030067, VIGILANCE-VUL-10321.

Description de la vulnérabilité

Le nombre 2.2250738585072011e-308 est le "plus grand nombre double subnormal", c'est-à-dire 0x0fffffffffffff x 2^-1022 en base 2.

Sur un processeur x86, Java JRE utilise les registres FPU x87 (80 bit), pour trouver bit-après-bit la valeur réelle la plus proche. Cette boucle s'arrête lorsque le reste est inférieur à la précision. Cependant, avec le nombre 2.225..., cette condition d'arrêt n'est jamais vraie (80 bits arrondis en 64 bits), et une boucle infinie se produit.

Un attaquant peut donc employer un nombre réel double spécial, afin de provoquer une boucle infinie dans les programmes Java.

L'origine de cette vulnérabilité est la même que VIGILANCE-VUL-10257.
Bulletin Vigil@nce complet.... (essai gratuit)

annonce de vulnérabilité informatique CVE-2010-3512 CVE-2010-3514 CVE-2010-3544

Oracle iPlanet Web Server : multiples vulnérabilités d'octobre 2010

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de Oracle iPlanet Web Server (Sun Java System Web Server) sont corrigées dans le CPU d'octobre 2010.
Produits concernés : Oracle iPlanet Web Server, Oracle Web Tier.
Gravité : 3/4.
Date création : 13/10/2010.
Références : BID-43977, BID-43984, BID-44004, BID-44034, CVE-2010-3512, CVE-2010-3514, CVE-2010-3544, CVE-2010-3545, VIGILANCE-VUL-10037.

Description de la vulnérabilité

Le CPU (Critical Patch Update) d'octobre corrige plusieurs vulnérabilités concernant Oracle iPlanet Web Server (Sun Java System Web Server).

Un attaquant peut employer une vulnérabilité de Administration, afin d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-43977, CVE-2010-3544]

Un attaquant peut employer une vulnérabilité de Administration, afin d'obtenir ou d'altérer des informations. [grav:3/4; BID-43984, CVE-2010-3545]

Un attaquant peut employer une vulnérabilité de Web Container, afin d'altérer des informations. [grav:2/4; BID-44004, CVE-2010-3514]

Un attaquant peut employer une vulnérabilité de WebDAV, afin d'obtenir des informations. [grav:2/4; BID-44034, CVE-2010-3512]
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité 9741

Sun Java Web Server : déni de service de l'interface d'administration

Synthèse de la vulnérabilité

Lorsqu'un attaquant est autorisé à se connecter sur le port de l'interface d'administration web de Sun Java Web Server, il peut envoyer une requête HTTP illicite afin de stopper le service.
Produits concernés : Oracle iPlanet Web Server.
Gravité : 1/4.
Date création : 06/07/2010.
Références : BID-41389, VIGILANCE-VUL-9741.

Description de la vulnérabilité

L'interface d'administration web de Sun Java Web Server écoute par défaut sur les ports 8800/tcp (HTTP) et 8989/tcp (HTTP+SSL).

Une requête HTTP est de la forme :
  GET / HTTP/1.0
  Entêtes

Cependant, si la requête contient simplement la ligne "{\n", le service d'administration web se stoppe.

Lorsqu'un attaquant est autorisé à se connecter sur le port de l'interface d'administration web de Sun Java Web Server, il peut donc envoyer une requête HTTP illicite afin de stopper le service.
Bulletin Vigil@nce complet.... (essai gratuit)

vulnérabilité 9560

Sun Java System Web Server : lecture de fichiers via WebDAV

Synthèse de la vulnérabilité

Lorsqu'un attaquant peut accéder à un répertoire WebDAV de Sun Java System Web Server, il peut lire un fichier local.
Produits concernés : Oracle iPlanet Web Server.
Gravité : 2/4.
Date création : 06/04/2010.
Références : BID-39187, VIGILANCE-VUL-9560.

Description de la vulnérabilité

Le protocole WebDAV ajoute des méthodes HTTP :
 - PROPFIND : obtient les propriétés d'un fichier
 - MOVE : déplacement
 - LOCK : verrouillage
 - UNLOCK : déverrouillage
 - etc.
Le corps de ces requêtes utilise du XML.

Un document XML peut définir de nouvelles entités. Par exemple (simplifié) :
  ENTITY blabla ...
  <abc>&blabla;</abc>

Un attaquant peut employer les méthodes LOCK et UNLOCK, dont le corps XML définit une nouvelle entité, stockée dans un fichier. Lorsque Sun Java System Web Server traite cette requête, il inclut le fichier dans la réponse, sans aucune vérification préliminaire.

Lorsqu'un attaquant peut accéder à un répertoire WebDAV de Sun Java System Web Server, il peut donc lire un fichier local.
Bulletin Vigil@nce complet.... (essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur iPlanet Web Server :