L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de BES

avis de vulnérabilité informatique CVE-2017-3894

BlackBerry BES/UEM : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de BlackBerry BES/UEM, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : BES, BlackBerry UEM.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Date création : 10/05/2017.
Références : BSRT-2017-004, CVE-2017-3894, VIGILANCE-VUL-22699.

Description de la vulnérabilité

Le produit BlackBerry BES/UEM dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de BlackBerry BES/UEM, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2016-3128 CVE-2016-3130

BlackBerry Enterprise Service : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de BlackBerry Enterprise Service.
Produits concernés : BES.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données.
Provenance : LAN.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 11/01/2017.
Références : BSRT-2017-001, BSRT-2017-002, CVE-2016-3128, CVE-2016-3130, VIGILANCE-VUL-21549.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans BlackBerry Enterprise Service.

Un attaquant peut contourner les mesures de sécurité via Illegitimate Device, afin d'élever ses privilèges. [grav:2/4; BSRT-2017-001, CVE-2016-3128]

Un attaquant peut contourner les mesures de sécurité via Sniffing, afin d'obtenir des informations sensibles. [grav:2/4; BSRT-2017-002, CVE-2016-3130]
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2016-1916 CVE-2016-1917 CVE-2016-1918

BlackBerry Enterprise Service : quatre vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de BlackBerry Enterprise Service.
Produits concernés : BES.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 4.
Date création : 13/04/2016.
Références : BSRT-2016-003, BSRT-2016-004, BSRT-2016-005, CVE-2016-1916, CVE-2016-1917, CVE-2016-1918, CVE-2016-3126, VIGILANCE-VUL-19368.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans BlackBerry Enterprise Service.

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; BSRT-2016-003, CVE-2016-1916]

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; BSRT-2016-004, CVE-2016-1917]

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; BSRT-2016-004, CVE-2016-1918]

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; BSRT-2016-005, CVE-2016-3126]
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2016-1914 CVE-2016-1915

BlackBerry Enterprise Service : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de BlackBerry Enterprise Service.
Produits concernés : BES.
Gravité : 2/4.
Conséquences : accès/droits client, lecture de données, création/modification de données, effacement de données.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 22/02/2016.
Références : 000038033, BSRT-2016-001, CVE-2016-1914, CVE-2016-1915, VIGILANCE-VUL-19000.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans BlackBerry Enterprise Service.

Un attaquant peut provoquer une injection SQL, afin de lire ou modifier des données. [grav:2/4; CVE-2016-1914]

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; CVE-2016-1915]
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité CVE-2016-1914 CVE-2016-1915

BlackBerry Enterprise Service : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de BlackBerry Enterprise Service.
Produits concernés : BES.
Gravité : 2/4.
Conséquences : accès/droits privilégié, lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 15/02/2016.
Date révision : 18/02/2016.
Références : BSRT-2016-001, CVE-2016-1914, CVE-2016-1915, VIGILANCE-VUL-18943.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans BlackBerry Enterprise Service.

Un attaquant peut provoquer une injection SQL dans le paramètre de requête HTTP "imageName", afin de lire ou modifier des données. [grav:2/4; CVE-2016-1914]

Un attaquant peut provoquer un Cross Site Scripting dans le paramètre de requête HTTP "locale", afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; CVE-2016-1915]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2015-4112

BlackBerry Enterprise Service : Cross Frame Scripting de Management Console

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Frame Scripting dans Management Console de BlackBerry Enterprise Service, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : BES.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Date création : 12/11/2015.
Références : BSRT-2015-002, CVE-2015-4112, VIGILANCE-VUL-18296.

Description de la vulnérabilité

Le produit BlackBerry Enterprise Service dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Frame Scripting dans Management Console de BlackBerry Enterprise Service, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2014-3566

SSL 3.0 : déchiffrement de session, POODLE

Synthèse de la vulnérabilité

Un attaquant, placé en Man-in-the-Middle, peut déchiffrer une session SSL 3.0, afin d'obtenir des informations sensibles.
Produits concernés : SES, SNS, Apache httpd, Arkoon FAST360, ArubaOS, Asterisk Open Source, BES, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, GAiA, CheckPoint IP Appliance, IPSO, SecurePlatform, CheckPoint Security Appliance, CheckPoint Security Gateway, Cisco ASR, Cisco ACE, ASA, AsyncOS, Cisco CSS, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, IronPort Email, Nexus par Cisco, NX-OS, Prime Infrastructure, Cisco PRSM, Cisco Router, WebNS, Clearswift Email Gateway, Clearswift Web Gateway, CUPS, Debian, Black Diamond, ExtremeXOS, Summit, BIG-IP Hardware, TMOS, Fedora, FortiGate, FortiGate Virtual Appliance, FortiManager, FortiManager Virtual Appliance, FortiOS, FreeBSD, F-Secure AV, hMailServer, HPE BSM, HP Data Protector, HPE NNMi, HP Operations, ProCurve Switch, SiteScope, HP Switch, TippingPoint IPS, HP-UX, AIX, Domino, Notes, Security Directory Server, SPSS Data Collection, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, WebSphere MQ, IVE OS, Juniper J-Series, Junos OS, Junos Space, Junos Space Network Management Platform, MAG Series par Juniper, NSM Central Manager, NSMXpress, Juniper SA, McAfee Email and Web Security, McAfee Email Gateway, ePO, VirusScan, McAfee Web Gateway, IE, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 7, Windows 8, Windows (plateforme) ~ non exhaustif, Windows RT, Windows Vista, NETASQ, NetBSD, NetScreen Firewall, ScreenOS, nginx, Nodejs Core, OpenSSL, openSUSE, openSUSE Leap, Oracle DB, Oracle Fusion Middleware, Oracle Identity Management, Oracle OIT, Solaris, Tuxedo, WebLogic, Palo Alto Firewall PA***, PAN-OS, Polycom CMA, HDX, RealPresence Collaboration Server, RealPresence Distributed Media Application, Polycom VBP, Postfix, SSL (protocole), Puppet, RHEL, JBoss EAP par Red Hat, RSA Authentication Manager, ROS, ROX, RuggedSwitch, Slackware, Splunk Enterprise, stunnel, SUSE Linux Enterprise Desktop, SLES, Synology DSM, Ubuntu, Unix (plateforme) ~ non exhaustif, ESXi, vCenter Server, VMware vSphere, VMware vSphere Hypervisor, WinSCP.
Gravité : 3/4.
Conséquences : lecture de données, création/modification de données.
Provenance : client internet.
Date création : 15/10/2014.
Références : 10923, 1589583, 1595265, 1653364, 1657963, 1663874, 1687167, 1687173, 1687433, 1687604, 1687611, 1690160, 1690185, 1690342, 1691140, 1692551, 1695392, 1696383, 1699051, 1700706, 2977292, 3009008, 7036319, aid-10142014, AST-2014-011, bulletinapr2015, bulletinjan2015, bulletinjan2016, bulletinjul2015, bulletinjul2016, bulletinoct2015, c04486577, c04487990, c04492722, c04497114, c04506802, c04510230, c04567918, c04616259, c04626982, c04676133, c04776510, CERTFR-2014-ALE-007, CERTFR-2014-AVI-454, CERTFR-2014-AVI-509, CERTFR-2015-AVI-169, CERTFR-2016-AVI-303, cisco-sa-20141015-poodle, cpujul2017, CTX216642, CVE-2014-3566, DSA-3053-1, DSA-3253-1, DSA-3489-1, ESA-2014-178, ESA-2015-098, ESXi500-201502001, ESXi500-201502101-SG, ESXi510-201503001, ESXi510-201503001-SG, ESXi510-201503101-SG, ESXi550-201501001, ESXi550-201501101-SG, FEDORA-2014-12989, FEDORA-2014-12991, FEDORA-2014-13012, FEDORA-2014-13017, FEDORA-2014-13040, FEDORA-2014-13069, FEDORA-2014-13070, FEDORA-2014-13444, FEDORA-2014-13451, FEDORA-2014-13764, FEDORA-2014-13777, FEDORA-2014-13781, FEDORA-2014-13794, FEDORA-2014-14234, FEDORA-2014-14237, FEDORA-2014-15379, FEDORA-2014-15390, FEDORA-2014-15411, FEDORA-2014-17576, FEDORA-2014-17587, FEDORA-2015-9090, FEDORA-2015-9110, FreeBSD-SA-14:23.openssl, FSC-2014-8, HPSBGN03256, HPSBGN03305, HPSBGN03332, HPSBHF03156, HPSBHF03300, HPSBMU03152, HPSBMU03184, HPSBMU03213, HPSBMU03416, HPSBUX03162, HPSBUX03194, JSA10656, MDVSA-2014:203, MDVSA-2014:218, MDVSA-2015:062, NetBSD-SA2014-015, nettcp_advisory, openSUSE-SU-2014:1331-1, openSUSE-SU-2014:1384-1, openSUSE-SU-2014:1395-1, openSUSE-SU-2014:1426-1, openSUSE-SU-2016:0640-1, openSUSE-SU-2016:1586-1, openSUSE-SU-2017:0980-1, PAN-SA-2014-0005, POODLE, RHSA-2014:1652-01, RHSA-2014:1653-01, RHSA-2014:1692-01, RHSA-2014:1920-01, RHSA-2014:1948-01, RHSA-2015:0010-01, RHSA-2015:0011-01, RHSA-2015:0012-01, RHSA-2015:1545-01, RHSA-2015:1546-01, SA83, SB10090, SB10104, sk102989, SOL15702, SP-CAAANKE, SP-CAAANST, SPL-91947, SPL-91948, SSA:2014-288-01, SSA-396873, SSA-472334, SSRT101767, STORM-2014-02-FR, SUSE-SU-2014:1357-1, SUSE-SU-2014:1361-1, SUSE-SU-2014:1386-1, SUSE-SU-2014:1387-1, SUSE-SU-2014:1387-2, SUSE-SU-2014:1409-1, SUSE-SU-2015:0010-1, SUSE-SU-2016:1457-1, SUSE-SU-2016:1459-1, T1021439, TSB16540, USN-2839-1, VIGILANCE-VUL-15485, VMSA-2015-0001, VMSA-2015-0001.1, VMSA-2015-0001.2, VN-2014-003, VU#577193.

Description de la vulnérabilité

Les sessions SSL/TLS peuvent être établies en utilisant plusieurs protocoles :
 - SSL 2.0 (obsolète)
 - SSL 3.0
 - TLS 1.0
 - TLS 1.1
 - TLS 1.2

Un attaquant peut abaisser la version (downgrade) en SSLv3. Cependant, avec SSL 3.0, un attaquant peut modifier la position du padding (octets de bourrage) en chiffrement CBC, afin de progressivement deviner des fragments d'information en clair.

Cette vulnérabilité porte le nom POODLE (Padding Oracle On Downgraded Legacy Encryption).

Un attaquant, placé en Man-in-the-Middle, peut donc déchiffrer une session SSL 3.0, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2014-1469

BlackBerry Enterprise Service : obtention d'information via les journaux d'activité

Synthèse de la vulnérabilité

Un attaquant peut provoquer une erreur avec Enterprise Instant Messenger de BlackBerry Enterprise Service, afin d'obtenir des informations sensibles.
Produits concernés : BES.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Date création : 14/08/2014.
Références : BSRT-2014-007, CVE-2014-1469, VIGILANCE-VUL-15186.

Description de la vulnérabilité

Le produit BlackBerry Enterprise Service dispose d'un service de messagerie instantanée.

L'accès à ce service nécessite une ouverture de session avec authentification du client. Cependant, dans certaines conditions, lorsqu'une erreur se produit au début ou en fin de session, le serveur enregistre dans le journal d'activité les secrets utilisés pour la protection des communications avec le client ou pour l'authentification de ce dernier.

Un attaquant ayant accès aux journaux du serveur peut donc obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2014-0195

OpenSSL : buffer overflow de DTLS

Synthèse de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via DTLS de OpenSSL, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : ArubaOS, BES, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco ATA, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, CiscoWorks, Cisco Content SMA, Cisco CSS, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, IronPort Email, IronPort Management, IronPort Web, Nexus par Cisco, NX-OS, Prime Collaboration Assurance, Prime Collaboration Manager, Prime Infrastructure, Cisco PRSM, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Cisco Unity ~ précis, WebNS, Cisco WSA, Debian, Avamar, EMC CAVA, EMC CEE, EMC CEPA, Celerra FAST, Celerra NS, Celerra NX4, EMC CMDCE, Connectrix Switch, ECC, NetWorker, PowerPath, Unisphere EMC, VNX Operating Environment, VNX Series, BIG-IP Hardware, TMOS, Fedora, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiClient, FortiManager, FortiManager Virtual Appliance, FreeBSD, HP Operations, HP-UX, AIX, Juniper J-Series, Junos OS, Junos Pulse, Juniper Network Connect, Juniper UAC, McAfee Web Gateway, NetBSD, OpenBSD, OpenSSL, openSUSE, openSUSE Leap, Solaris, Polycom CMA, HDX, RealPresence Collaboration Server, Polycom VBP, RHEL, ACE Agent, ACE Server, RSA Authentication Agent, RSA Authentication Manager, SecurID, Slackware, stunnel, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : client internet.
Date création : 05/06/2014.
Références : aid-06062014, c04336637, c04363613, c04368523, CERTFR-2014-AVI-253, CERTFR-2014-AVI-254, CERTFR-2014-AVI-255, CERTFR-2014-AVI-260, CERTFR-2014-AVI-279, CERTFR-2014-AVI-286, CERTFR-2014-AVI-291, cisco-sa-20140605-openssl, CTX140876, CVE-2014-0195, DOC-53313, DSA-2950-1, DSA-2950-2, FEDORA-2014-17576, FEDORA-2014-17587, FEDORA-2014-7101, FEDORA-2014-7102, FG-IR-14-018, FreeBSD-SA-14:14.openssl, HPSBMU03069, HPSBUX03046, JSA10629, KB36051, MDVSA-2014:106, MDVSA-2015:062, NetBSD-SA2014-006, openSUSE-SU-2014:0764-1, openSUSE-SU-2014:0765-1, openSUSE-SU-2016:0640-1, RHSA-2014:0625-01, RHSA-2014:0628-01, RHSA-2014:0679-01, SA40006, SA80, SB10075, SOL15356, SSA:2014-156-03, SSRT101590, USN-2232-1, USN-2232-2, USN-2232-3, USN-2232-4, VIGILANCE-VUL-14846, ZDI-14-173.

Description de la vulnérabilité

Le protocole DTLS (Datagram Transport Layer Security), basé sur TLS, fournit une couche cryptographique au-dessus du protocole UDP.

Cependant, si la taille des données d'un fragment DTLS est supérieure à la taille du tableau de stockage, un débordement se produit.

Un attaquant peut donc provoquer un buffer overflow via DTLS de OpenSSL, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2014-0221

OpenSSL : déni de service via DTLS Recursion

Synthèse de la vulnérabilité

Un attaquant, situé sur un serveur DTLS, peut employer un handshake illicite, afin de mener un déni de service dans les applications clients basées sur OpenSSL.
Produits concernés : ArubaOS, BES, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco ATA, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, CiscoWorks, Cisco Content SMA, Cisco CSS, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, IronPort Email, IronPort Management, IronPort Web, Nexus par Cisco, NX-OS, Prime Collaboration Assurance, Prime Collaboration Manager, Prime Infrastructure, Cisco PRSM, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Cisco Unity ~ précis, WebNS, Cisco WSA, Debian, Avamar, EMC CAVA, EMC CEE, EMC CEPA, Celerra FAST, Celerra NS, Celerra NX4, EMC CMDCE, Connectrix Switch, ECC, NetWorker, PowerPath, Unisphere EMC, VNX Operating Environment, VNX Series, BIG-IP Hardware, TMOS, Fedora, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiClient, FortiManager, FortiManager Virtual Appliance, FreeBSD, HP Operations, HP-UX, AIX, Juniper J-Series, Junos OS, Junos Pulse, Juniper Network Connect, Juniper UAC, McAfee Web Gateway, NetBSD, OpenBSD, OpenSSL, openSUSE, openSUSE Leap, Solaris, Polycom CMA, HDX, RealPresence Collaboration Server, Polycom VBP, RHEL, JBoss EAP par Red Hat, ACE Agent, ACE Server, RSA Authentication Agent, RSA Authentication Manager, SecurID, Slackware, stunnel, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : déni de service du client.
Provenance : serveur internet.
Date création : 05/06/2014.
Références : aid-06062014, c04336637, c04363613, c04368523, CERTFR-2014-AVI-253, CERTFR-2014-AVI-254, CERTFR-2014-AVI-255, CERTFR-2014-AVI-260, CERTFR-2014-AVI-279, CERTFR-2014-AVI-286, cisco-sa-20140605-openssl, CTX140876, CVE-2014-0221, DOC-53313, DSA-2950-1, DSA-2950-2, FEDORA-2014-17576, FEDORA-2014-17587, FEDORA-2014-7101, FEDORA-2014-7102, FG-IR-14-018, FreeBSD-SA-14:14.openssl, HPSBMU03069, HPSBUX03046, JSA10629, KB36051, MDVSA-2014:105, MDVSA-2014:106, MDVSA-2015:062, NetBSD-SA2014-006, openSUSE-SU-2014:0764-1, openSUSE-SU-2014:0765-1, openSUSE-SU-2016:0640-1, RHSA-2014:0625-01, RHSA-2014:0628-01, RHSA-2014:0679-01, RHSA-2014:1019-01, RHSA-2014:1020-01, RHSA-2014:1021-01, RHSA-2014:1053-01, SA40006, SA80, SB10075, SOL15343, SSA:2014-156-03, SSRT101590, SUSE-SU-2014:0759-1, SUSE-SU-2014:0759-2, SUSE-SU-2014:0761-1, SUSE-SU-2014:0762-1, USN-2232-1, USN-2232-2, USN-2232-3, USN-2232-4, VIGILANCE-VUL-14845.

Description de la vulnérabilité

Le produit OpenSSL implémente DTLS, qui utilise un handshake.

Cependant, un handshake spécial produit une récursivité infinie dans le client OpenSSL.

Un attaquant, situé sur un serveur DTLS, peut donc employer un handshake illicite, afin de mener un déni de service dans les applications clients basées sur OpenSSL.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.