L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Chromium

bulletin de vulnérabilité informatique CVE-2017-7000

SQLite : obtention d'information via Pointer Disclosure

Synthèse de la vulnérabilité

Produits concernés : Mac OS X, Debian, Fedora, Chrome, openSUSE Leap, Opera, RHEL, SQLite, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 16/08/2017.
Références : 1475207, CVE-2017-7000, DSA-3926-1, FEDORA-2017-571e659c85, FEDORA-2017-5f2b220c7c, FEDORA-2017-c708c044e3, FEDORA-2017-f79ae2b96f, HT207797, openSUSE-SU-2017:1993-1, openSUSE-SU-2017:1994-1, RHSA-2017:1833-01, VIGILANCE-VUL-23528.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Pointer Disclosure de SQLite, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité CVE-2017-9417

Broadcom BCM43xx : exécution de code via Wi-Fi

Synthèse de la vulnérabilité

Produits concernés : iOS par Apple, iPhone, Mac OS X, Debian, Fedora, Android OS, Chrome, Windows 10, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 2016, Windows 7, Windows 8, Windows RT, Opera.
Gravité : 3/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur.
Provenance : liaison radio.
Confiance : confirmé par l'éditeur (5/5).
Date création : 20/07/2017.
Références : APPLE-SA-2017-07-19-1, APPLE-SA-2017-07-19-2, Broadpwn, CERTFR-2017-AVI-244, CVE-2017-9417, DLA-1573-1, FEDORA-2017-355ac8a91a, FEDORA-2017-a253644369, HT207922, VIGILANCE-VUL-23300.

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via Wi-Fi de Broadcom BCM43xx, afin d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2016-5203 CVE-2016-5204 CVE-2016-5205

Chrome : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Chrome.
Produits concernés : Debian, Fedora, Chrome, openSUSE, openSUSE Leap, Opera, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, accès/droits client, lecture de données, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 02/12/2016.
Dates révisions : 01/02/2017, 15/06/2017.
Références : 1000, 994, CERTFR-2016-AVI-394, CVE-2016-5203, CVE-2016-5204, CVE-2016-5205, CVE-2016-5206, CVE-2016-5207, CVE-2016-5208, CVE-2016-5209, CVE-2016-5210, CVE-2016-5211, CVE-2016-5212, CVE-2016-5213, CVE-2016-5214, CVE-2016-5215, CVE-2016-5216, CVE-2016-5217, CVE-2016-5218, CVE-2016-5219, CVE-2016-5220, CVE-2016-5221, CVE-2016-5222, CVE-2016-5223, CVE-2016-5224, CVE-2016-5225, CVE-2016-5226, CVE-2016-9650, CVE-2016-9651, CVE-2016-9652, DSA-3731-1, FEDORA-2016-a815b7bf5d, FEDORA-2016-e0e1cb2b2b, FEDORA-2017-98bed96d12, FEDORA-2017-ae1fde5fb8, openSUSE-SU-2016:3108-1, openSUSE-SU-2017:0434-1, openSUSE-SU-2017:0563-1, openSUSE-SU-2017:0565-1, RHSA-2016:2919-01, USN-3153-1, VIGILANCE-VUL-21255.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Chrome.

Un attaquant peut contourner les mesures de sécurité via V8, afin d'obtenir des informations sensibles. [grav:3/4; CVE-2016-9651]

Un attaquant peut provoquer un Cross Site Scripting via Blink, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:3/4; CVE-2016-5208]

Un attaquant peut provoquer un Cross Site Scripting via Blink, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:3/4; CVE-2016-5207]

Un attaquant peut contourner la vérification de l'origine via PDFium, afin d'accéder aux données de la victime. [grav:3/4; CVE-2016-5206]

Un attaquant peut provoquer un Cross Site Scripting via Blink, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:3/4; CVE-2016-5205]

Un attaquant peut provoquer un Cross Site Scripting via Blink, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:3/4; CVE-2016-5204]

Un attaquant peut provoquer un buffer overflow via Blink, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-5209]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via PDFium, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-5203]

Un attaquant peut provoquer un buffer overflow via PDFium, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-5210]

Un attaquant peut contourner les mesures de sécurité via DevTools, afin d'obtenir des informations sensibles. [grav:3/4; CVE-2016-5212]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via PDFium, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-5211]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via V8, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-5213]

Un attaquant peut contourner les mesures de sécurité via File Download, afin d'obtenir des informations sensibles. [grav:2/4; CVE-2016-5214]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via PDFium, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-5216]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via Webaudio, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-5215]

Un attaquant peut provoquer une corruption de mémoire via PDFium, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-5217]

Un attaquant peut altérer l'affichage via Omnibox, afin de tromper la victime. [grav:2/4; CVE-2016-5218]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via V8, afin de mener un déni de service, et éventuellement d'exécuter du code (VIGILANCE-VUL-21621). [grav:2/4; CVE-2016-5219]

Un attaquant peut provoquer un débordement d'entier via ANGLE, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-5221]

Un attaquant peut contourner les restrictions d'accès aux fichiers via PDFium, afin d'obtenir des informations sensibles. [grav:2/4; CVE-2016-5220]

Un attaquant peut altérer l'affichage via Omnibox, afin de tromper la victime. [grav:2/4; CVE-2016-5222]

Un attaquant peut contourner les mesures de sécurité via CSP Referrer, afin d'obtenir des informations sensibles. [grav:1/4; CVE-2016-9650]

Un attaquant peut provoquer un débordement d'entier via PDFium, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:1/4; CVE-2016-5223]

Un attaquant peut provoquer un Cross Site Scripting via Blink, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:1/4; CVE-2016-5226]

Un attaquant peut contourner les mesures de sécurité via Blink, afin d'obtenir des informations sensibles. [grav:1/4; CVE-2016-5225]

Un attaquant peut contourner la vérification de l'origine via SVG, afin d'accéder aux données de la victime. [grav:1/4; CVE-2016-5224]

Un attaquant peut provoquer une corruption de mémoire, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-9652]

Une vulnérabilité inconnue a été annoncée via HTMLKeygenElement::shadowSelect(). [grav:2/4; 994]
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2017-5070 CVE-2017-5071 CVE-2017-5072

Google Chrome : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Google Chrome.
Produits concernés : Fedora, Chrome, openSUSE Leap, Opera, RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 06/06/2017.
Références : 1232, CERTFR-2017-AVI-168, CVE-2017-5070, CVE-2017-5071, CVE-2017-5072, CVE-2017-5073, CVE-2017-5074, CVE-2017-5075, CVE-2017-5076, CVE-2017-5077, CVE-2017-5078, CVE-2017-5079, CVE-2017-5080, CVE-2017-5081, CVE-2017-5082, CVE-2017-5083, CVE-2017-5085, CVE-2017-5086, FEDORA-2017-1e34da27f3, FEDORA-2017-a66e2c5b62, FEDORA-2017-a7a488d8d0, FEDORA-2017-b8d76bef4e, openSUSE-SU-2017:1501-1, openSUSE-SU-2017:1502-1, RHSA-2017:1399-01, VIGILANCE-VUL-22905.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Chrome.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2017-5068

Chrome : obtention d'information via WebRTC Race

Synthèse de la vulnérabilité

Produits concernés : Fedora, Chrome, openSUSE Leap, Opera, RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Conséquences : lecture de données.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 03/05/2017.
Références : CERTFR-2017-AVI-138, CVE-2017-5068, FEDORA-2017-7d698eba8b, FEDORA-2017-811133dc2c, FEDORA-2017-dc7ce3b314, openSUSE-SU-2017:1190-1, openSUSE-SU-2017:1194-1, RHSA-2017:1228-01, VIGILANCE-VUL-22637.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via WebRTC Race de Chrome, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité CVE-2017-5057 CVE-2017-5058 CVE-2017-5059

Chrome : multiples vulnérabilités

Synthèse de la vulnérabilité

Produits concernés : Fedora, Chrome, openSUSE Leap, Opera, RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 4/4.
Conséquences : accès/droits utilisateur, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 20/04/2017.
Date révision : 03/05/2017.
Références : CERTFR-2017-AVI-123, CVE-2017-5057, CVE-2017-5058, CVE-2017-5059, CVE-2017-5060, CVE-2017-5061, CVE-2017-5062, CVE-2017-5063, CVE-2017-5064, CVE-2017-5065, CVE-2017-5066, CVE-2017-5067, CVE-2017-5069, FEDORA-2017-7d698eba8b, FEDORA-2017-811133dc2c, FEDORA-2017-dc7ce3b314, openSUSE-SU-2017:1098-1, openSUSE-SU-2017:1100-1, RHSA-2017:1124-01, VIGILANCE-VUL-22520, ZDI-17-314.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Chrome.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2017-5090

Chrome, Firefox : usurpation de site via homographes

Synthèse de la vulnérabilité

Un attaquant peut employer une url avec des caractères Unicode ressemblant à des caractères ASCII, afin de tromper la victime.
Produits concernés : Chrome, Firefox, SeaMonkey, Opera.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 18/04/2017.
Références : 1332714, CVE-2017-5090, VIGILANCE-VUL-22467.

Description de la vulnérabilité

Plusieurs caractères Unicode (comme U+0430) ont une apparence similaire au caractère ASCII 'a'. Certains attaquants utilisent des noms de domaine contenant ces variations, afin d'inciter la victime à cliquer sur un lien.

Ce type d'attaque, basée sur des homographes, a déjà fait l'objet de plusieurs bulletins (VIGILANCE-VUL-4729 et VIGILANCE-VUL-8497). Des correctifs ont été implémentés dans la majorité des logiciels.

Cependant, lorsque le nom est composé uniquement de caractères Unicode, les protections de Chrome et Firefox sont contournées. Par exemple, https://xn--e1awd7f.com/ est affiché https://www.epic.com/. De plus, comme un certificat valide pour ce nom de domaine peut être obtenu par Let's Encrypt, un attaquant peut facilement usurper un site TLS.

Un attaquant peut donc employer une url avec des caractères Unicode ressemblant à des caractères ASCII, afin de tromper la victime.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2016-5129

v8 : corruption de mémoire via Left-trimmed Objects

Synthèse de la vulnérabilité

Produits concernés : Debian, Android OS, Chrome, openSUSE, openSUSE Leap, Opera, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 04/04/2017.
Références : CVE-2016-5129, DSA-3637-1, openSUSE-SU-2016:1865-1, openSUSE-SU-2016:1868-1, openSUSE-SU-2016:1869-1, openSUSE-SU-2016:1918-1, openSUSE-SU-2016:2320-1, RHSA-2016:1485-01, USN-3041-1, VIGILANCE-VUL-22316.

Description de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire via Left-trimmed Objects de v8, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2017-5052 CVE-2017-5053 CVE-2017-5054

Chrome : cinq vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Chrome.
Produits concernés : Fedora, Chrome, openSUSE Leap, Opera, RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 4/4.
Conséquences : accès/droits utilisateur, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 30/03/2017.
Références : CERTFR-2017-AVI-095, CVE-2017-5052, CVE-2017-5053, CVE-2017-5054, CVE-2017-5055, CVE-2017-5056, FEDORA-2017-5b199bf121, FEDORA-2017-ff6940bf63, openSUSE-SU-2017:0908-1, openSUSE-SU-2017:0909-1, RHSA-2017:0860-01, VIGILANCE-VUL-22291.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Chrome.

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via Printing, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:4/4; CVE-2017-5055]

Un attaquant peut provoquer un buffer overflow via V8, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2017-5054]

Un attaquant peut provoquer une corruption de mémoire via Blink, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2017-5052]

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via Blink, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2017-5056]

Un attaquant peut forcer la lecture à une adresse invalide via V8, afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2017-5053]
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2016-5139

OpenJPEG : buffer overflow via opj_tcd_init_tile

Synthèse de la vulnérabilité

Produits concernés : Debian, Fedora, Chrome, openSUSE Leap, Opera, RHEL, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 20/03/2017.
Références : CVE-2016-5139, DLA-1433-1, DSA-3645-1, FEDORA-2016-e9798eaaa3, FEDORA-2017-920b27e8f4, openSUSE-SU-2016:2320-1, RHSA-2016:1580-01, RHSA-2017:0559-01, RHSA-2017:0838-01, USN-3058-1, VIGILANCE-VUL-22174.

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via opj_tcd_init_tile() de OpenJPEG, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Chromium :