Vulnérabilité de jQuery : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de jQuery, afin d'exécuter du code JavaScript dans le contexte du site web.

Produits vulnérables : Fedora, IBM API Connect, QRadar SIEM, jQuery Core, openSUSE Leap, Oracle Communications, Oracle DB, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Solaris, Tuxedo, Oracle Virtual Directory, WebLogic, RabbitMQ, Pulse Connect Secure, Pulse Secure Client, RHEL, SLES, Zabbix.

Gravité de cette faille : 2/4.

Date de création : 29/12/2016.

Références de ce bulletin : 6396524, 6413705, 6449664, bulletinjul2018, cpuapr2019, cpuapr2020, cpujan2019, cpujul2019, cpuoct2018, cpuoct2019, CVE-2015-9251, FEDORA-2016-06e8a3f776, FEDORA-2016-3368a38282, FEDORA-2016-8516b7d6fb, FEDORA-2016-b6cb3e83fa, openSUSE-SU-2020:0395-1, RHSA-2020:3936-01, RHSA-2020:4670-01, RHSA-2020:4847-01, SA44601, SUSE-SU-2020:0737-1, VIGILANCE-VUL-21468.

Description de la vulnérabilité

Le produit jQuery dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de jQuery, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette vulnérabilité cyber-sécurité concerne les logiciels ou systèmes comme Fedora, IBM API Connect, QRadar SIEM, jQuery Core, openSUSE Leap, Oracle Communications, Oracle DB, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Solaris, Tuxedo, Oracle Virtual Directory, WebLogic, RabbitMQ, Pulse Connect Secure, Pulse Secure Client, RHEL, SLES, Zabbix.

Notre équipe Vigil@nce a déterminé que la gravité de cette annonce de menace est moyen.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Un attaquant avec un niveau de compétence expert peut exploiter cet avis de menace.

Solutions pour cette menace

Cloud Foundry UAA : version 73.3.0.
La version 73.3.0 est corrigée :
https://www.cloudfoundry.org/

Fedora : nouveaux paquetages js-jquery.
De nouveaux paquetages sont disponibles :
Fedora 24 : js-jquery 2.2.4-1.fc24
Fedora 25 : js-jquery 2.2.4-1.fc25

Fedora : nouveaux paquetages js-jquery1.
De nouveaux paquetages sont disponibles :
Fedora 24 : js-jquery1 1.12.4-2.fc24
Fedora 25 : js-jquery1 1.12.4-2.fc25

IBM API Connect : patch pour jQuery.
Un patch est indiqué dans les sources d'information.

IBM QRadar SIEM : versions corrigées pour composants.
Les versions suivantes sont corrigées :
QRadar / QRM / QVM / QRIF / QNI 7.3.3 Patch 8 : https://www.ibm.com/support/pages/node/ibm.com/support/fixcentral/swg/downloadFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+Vulnerability+Manager&release=All&platform=All&function=fixId&fixids=7.3.3-QRADAR-QRSIEM-20210427222138&includeRequisites=1&includeSupersedes=0&downloadMethod=http&source=SAR
QRadar / QRM / QVM / QRIF / QNI 7.4.2 Patch 3 : https://www.ibm.com/support/fixcentral/swg/downloadFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=7.4.0&platform=Linux&function=fixId&fixids=7.4.2-QRADAR-QRSIEM-20210323172312&includeRequisites=1&includeSupersedes=0&downloadMethod=http

IBM Security QRadar Analyst Workflow : version 1.4.1.
La version 1.4.1 est corrigée :
https://www.ibm.com/support/fixcentral/swg/downloadFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=All&platform=All&function=fixId&fixids=IBM-Security-QRadar-Analyst-Workflow-v1.4.1&includeRequisites=1&includeSupersedes=0&downloadMethod=http&source=dbluesearch&mhsrc=ibmsearch_s&mhq=IBM-Security-QRadar-Analyst-Workflow

openSUSE Leap 15.1 : nouveaux paquetages ruby2.5.
De nouveaux paquetages sont disponibles :
openSUSE Leap 15.1 : ruby2.5 2.5.7-lp151.4.6.1

Oracle Communications : CPU de janvier 2019.
Un Critical Patch Update est disponible :
https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html

Oracle Database : CPU de avril 2020.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2633852.1

Oracle Fusion Middleware : CPU de avril 2019.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2498664.1

Oracle Fusion Middleware : CPU de janvier 2019.
Un Critical Patch Update est disponible :
https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html

Oracle Fusion Middleware : CPU de juillet 2019.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2534806.1

Oracle Fusion Middleware : CPU de octobre 2018.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2433477.1

Oracle Fusion Middleware : CPU de octobre 2019.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2568292.1

Oracle Solaris : patch pour logiciels tiers de juillet 2018 v3.
Un patch est disponible :
https://support.oracle.com/rs?type=doc&id=1448883.1

Pulse Connect Secure, Pulse Secure Desktop Client : version 9.1R9.
La version 9.1R9 est corrigée :
https://my.pulsesecure.net/

RabbitMQ : version 3.7.17.
La version 3.7.17 est corrigée :
https://rabbitmq.com/download.html

Redmine : version 3.3.7.
La version 3.3.7 est corrigée :
http://www.redmine.org/projects/redmine/wiki/Download

Redmine : version 3.4.5.
La version 3.4.5 est corrigée :
http://www.redmine.org/projects/redmine/wiki/Download

RHEL 7.8 : nouveaux paquetages ipa.
De nouveaux paquetages sont disponibles :
RHEL 7.0-7.8 : ipa 4.6.8-5.el7

RHEL 8 : nouveau module idm-DL1.
Le module suivant est mis à jour :
RHEL 8 Module : idm:DL1

RHEL 8 : nouveau module pki-core-10.6.
Le module suivant est mis à jour :
RHEL 8 Module : pki-core:10.6

SUSE LE 15 : nouveaux paquetages ruby2.5.
De nouveaux paquetages sont disponibles :
SUSE LE 15 RTM : ruby2.5 2.5.7-4.8.1
SUSE LE 15 SP1 : ruby2.5 2.5.7-4.8.1

Zabbix : versions 4.0.8 et 4.2.2.
Les versions 4.0.8 et 4.2.2 sont corrigées.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit des annonces de vulnérabilité informatique. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.