L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de 7-Zip

alerte de vulnérabilité informatique CVE-2018-10115

7-Zip : vulnérabilité via RAR

Synthèse de la vulnérabilité

Produits concernés : 7-Zip, Solaris.
Gravité : 2/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 02/05/2018.
Références : bulletinjul2018, CERTFR-2018-AVI-214, CVE-2018-10115, VIGILANCE-VUL-26026.

Description de la vulnérabilité

Une vulnérabilité via RAR de 7-Zip a été annoncée.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2017-17969 CVE-2018-5996

7-Zip : multiples vulnérabilités

Synthèse de la vulnérabilité

Produits concernés : 7-Zip, Debian, Fedora, openSUSE Leap, Solaris, SUSE Linux Enterprise Desktop, SLES, Synology DSM, Synology DS***, Synology RS***.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 30/01/2018.
Références : bulletinjul2018, CVE-2017-17969, CVE-2018-5996, DLA-1268-1, DSA-4104-1, FEDORA-2018-29232aa760, FEDORA-2018-7edc48be11, FEDORA-2018-cd4311d4d6, FEDORA-2018-f8ad787538, openSUSE-SU-2018:0497-1, SUSE-SU-2018:0464-1, Synology-SA-18:14, VIGILANCE-VUL-25181.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de 7-Zip.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2017-2107

7-Zip : exécution de code via 7-ZIP32.DLL

Synthèse de la vulnérabilité

Produits concernés : 7-Zip.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 02/05/2017.
Références : CVE-2017-2107, JVN#86200862, VIGILANCE-VUL-22618.

Description de la vulnérabilité

Un attaquant peut utiliser une archive auto-extractible créée par 7-ZIP32.DLL de 7-Zip, afin d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité CVE-2016-2334 CVE-2016-2335

7-Zip : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de 7-Zip.
Produits concernés : 7-Zip, Debian, Fedora, openSUSE, openSUSE Leap, Solaris, Synology DS***, Synology RS***.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 12/05/2016.
Références : bulletinjan2018, bulletinoct2016, CERTFR-2016-AVI-168, CVE-2016-2334, CVE-2016-2335, DLA-510-1, DSA-3599-1, FEDORA-2016-430bc0f808, FEDORA-2016-bbcb0e4eb4, openSUSE-SU-2016:1464-1, openSUSE-SU-2016:1675-1, openSUSE-SU-2016:1850-1, TALOS-CAN-0093, TALOS-CAN-0094, VIGILANCE-VUL-19612.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans 7-Zip.

Un attaquant peut forcer la lecture à une adresse invalide avec un fichier UDF, afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2016-2335, TALOS-CAN-0094]

Un attaquant peut provoquer un buffer overflow avec un fichier HFS, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-2334, TALOS-CAN-0093]
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité 18671

Windows : exécution de code durant l'installation d'application

Synthèse de la vulnérabilité

Un attaquant peut inviter la victime à télécharger des bibliothèques illicites sous Windows, afin d'exécuter du code lors de l'installation d'une application nécessitant ces DLL.
Produits concernés : 7-Zip, ZoneAlarm, FileZilla Server, GIMP, Chrome, Kaspersky AV, Windows 10, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 7, Windows 8, Windows (plateforme) ~ non exhaustif, Windows RT, Windows Vista, Opera, Panda AV, Panda Internet Security, OfficeScan, TrueCrypt, VLC.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 11/01/2016.
Références : sk110055, VIGILANCE-VUL-18671.

Description de la vulnérabilité

Lorsqu'un utilisateur installe une nouvelle application sous Windows, il télécharge le programme d'installation (install.exe par exemple), puis l'exécute.

Cependant, de nombreux programmes d'installation chargent des DLL (par exemple graphique.dll) depuis le répertoire courant. Ainsi, si un attaquant a invité la victime à télécharger un fichier graphique.dll malveillant, avant qu'il exécute install.exe depuis le répertoire Téléchargement, le code situé dans la DLL est exécuté.

Le bulletin VIGILANCE-VUL-19558 décrit le même problème pour d'autres produits.

Un attaquant peut donc inviter la victime à télécharger des bibliothèques illicites sous Windows, afin d'exécuter du code lors de l'installation d'une application nécessitant ces DLL.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur 7-Zip :