L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de IBM Notes

alerte de vulnérabilité informatique CVE-2016-5542 CVE-2016-5554 CVE-2016-5556

Oracle Java : vulnérabilités de octobre 2016

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Java.
Produits concernés : Debian, Avamar, Fedora, AIX, Domino, Notes, IRAD, QRadar SIEM, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, Junos Space, SnapManager, Java OpenJDK, openSUSE, openSUSE Leap, Java Oracle, JavaFX, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service, déni de service du client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 7.
Date création : 19/10/2016.
Références : 1993440, 1994049, 1994123, 1994478, 1997764, 1999054, 1999395, 1999474, 1999478, 1999479, 1999488, 1999532, 2000212, 2000544, 2000904, 2000988, 2000990, 2001608, 2002331, 2002479, 2002537, 2003145, 2004036, 491108, CERTFR-2016-AVI-349, CERTFR-2017-AVI-012, cpuoct2016, CVE-2016-5542, CVE-2016-5554, CVE-2016-5556, CVE-2016-5568, CVE-2016-5573, CVE-2016-5582, CVE-2016-5597, DLA-704-1, DSA-3707-1, ESA-2016-137, FEDORA-2016-73054cfeeb, JSA10770, NTAP-20161019-0001, openSUSE-SU-2016:2862-1, openSUSE-SU-2016:2900-1, openSUSE-SU-2016:2985-1, openSUSE-SU-2016:2990-1, openSUSE-SU-2016:3088-1, RHSA-2016:2079-01, RHSA-2016:2088-01, RHSA-2016:2089-01, RHSA-2016:2090-01, RHSA-2016:2136-01, RHSA-2016:2137-01, RHSA-2016:2138-01, RHSA-2016:2658-01, RHSA-2016:2659-01, RHSA-2017:0061-01, SUSE-SU-2016:2887-1, SUSE-SU-2016:3010-1, SUSE-SU-2016:3040-1, SUSE-SU-2016:3041-1, SUSE-SU-2016:3043-1, SUSE-SU-2016:3068-1, SUSE-SU-2016:3078-1, USN-3121-1, USN-3130-1, USN-3154-1, VIGILANCE-VUL-20906, ZDI-16-571.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.

Un attaquant peut employer une vulnérabilité via 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-5556]

Un attaquant peut employer une vulnérabilité via AWT, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-5568, ZDI-16-571]

Un attaquant peut employer une vulnérabilité via Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-5582]

Un attaquant peut employer une vulnérabilité via Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-5573]

Un attaquant peut employer une vulnérabilité via Networking, afin d'obtenir des informations. [grav:2/4; CVE-2016-5597]

Un attaquant peut employer une vulnérabilité via JMX, afin d'altérer des informations. [grav:2/4; CVE-2016-5554]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'altérer des informations. [grav:1/4; CVE-2016-5542]
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2016-2052

HarfBuzz : corruption de mémoire

Synthèse de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire de HarfBuzz, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : Notes, openSUSE, openSUSE Leap, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : document.
Date création : 16/08/2016.
Références : 1983969, 1984073, 1987066, 1990410, CVE-2016-2052, openSUSE-SU-2016:2082-1, openSUSE-SU-2017:2488-1, USN-3067-1, VIGILANCE-VUL-20398.

Description de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire de HarfBuzz, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2015-8947

HarfBuzz : lecture de mémoire hors plage prévue via hb-ot-layout-gpos-table.hh

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via hb-ot-layout-gpos-table.hh de HarfBuzz, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Produits concernés : Notes, openSUSE, openSUSE Leap, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service, déni de service du client.
Provenance : document.
Date création : 16/08/2016.
Références : 1983969, 1984073, 1987066, 1990410, CVE-2015-8947, openSUSE-SU-2016:2082-1, openSUSE-SU-2017:2488-1, USN-3067-1, VIGILANCE-VUL-20397.

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via hb-ot-layout-gpos-table.hh de HarfBuzz, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2016-3458 CVE-2016-3485 CVE-2016-3498

Oracle Java : vulnérabilités de juillet 2016

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Java.
Produits concernés : Debian, VNX Operating Environment, VNX Series, BIG-IP Hardware, TMOS, Fedora, AIX, Domino, Notes, IRAD, SPSS Statistics, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, JAXP, ePO, Java OpenJDK, openSUSE, openSUSE Leap, Java Oracle, JavaFX, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service, déni de service du client.
Provenance : compte utilisateur.
Nombre de vulnérabilités dans ce bulletin : 13.
Date création : 20/07/2016.
Références : 1988339, 1988894, 1988978, 1989049, 1989337, 1990031, 1990448, 1991383, 1991909, 1991910, 1991911, 1991913, 1991997, 1995792, 1995799, 2001630, 2007242, 486953, CERTFR-2016-AVI-243, cpujul2016, CVE-2016-3458, CVE-2016-3485, CVE-2016-3498, CVE-2016-3500, CVE-2016-3503, CVE-2016-3508, CVE-2016-3511, CVE-2016-3550, CVE-2016-3552, CVE-2016-3587, CVE-2016-3598, CVE-2016-3606, CVE-2016-3610, DLA-579-1, DSA-3641-1, ESA-2016-099, FEDORA-2016-588e386aaa, FEDORA-2016-c07d18b2a5, FEDORA-2016-c60d35c46c, openSUSE-SU-2016:2050-1, openSUSE-SU-2016:2051-1, openSUSE-SU-2016:2052-1, openSUSE-SU-2016:2058-1, RHSA-2016:1458-01, RHSA-2016:1475-01, RHSA-2016:1476-01, RHSA-2016:1477-01, RHSA-2016:1504-01, RHSA-2016:1587-01, RHSA-2016:1588-01, RHSA-2016:1589-01, RHSA-2016:1776-01, SB10166, SOL05016441, SOL25075696, SUSE-SU-2016:1997-1, SUSE-SU-2016:2012-1, SUSE-SU-2016:2261-1, SUSE-SU-2016:2286-1, SUSE-SU-2016:2347-1, SUSE-SU-2016:2348-1, SUSE-SU-2016:2726-1, USN-3043-1, USN-3062-1, USN-3077-1, VIGILANCE-VUL-20169, ZDI-16-445, ZDI-16-446, ZDI-16-447, ZDI-16-448.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Communications.

Un attaquant peut employer une vulnérabilité via Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3587, ZDI-16-448]

Un attaquant peut employer une vulnérabilité via Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3606, ZDI-16-447]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3598, ZDI-16-446]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3610, ZDI-16-445]

Un attaquant peut employer une vulnérabilité via Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3552]

Un attaquant peut employer une vulnérabilité via Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3511]

Un attaquant peut employer une vulnérabilité via Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3503]

Un attaquant peut employer une vulnérabilité via JavaFX, afin de mener un déni de service. [grav:2/4; CVE-2016-3498]

Un attaquant peut employer une vulnérabilité via JAXP, afin de mener un déni de service. [grav:2/4; CVE-2016-3500]

Un attaquant peut employer une vulnérabilité via JAXP, afin de mener un déni de service. [grav:2/4; CVE-2016-3508]

Un attaquant peut employer une vulnérabilité via CORBA, afin d'altérer des informations. [grav:2/4; CVE-2016-3458]

Un attaquant peut employer une vulnérabilité via Hotspot, afin d'altérer des informations, ou de mener un déni de service. [grav:2/4; CVE-2016-3550]

Un attaquant peut employer une vulnérabilité via Networking, afin d'altérer des informations. [grav:1/4; CVE-2016-3485]
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2016-2542

Flexera InstallShield, JRSoft Inno Setup : exécution de code via DLL-planting

Synthèse de la vulnérabilité

Un attaquant peut créer une DLL malveillante dans un chemin de recherche de Flexera InstallShield ou JRSoft Inno Setup, afin d'exécuter du code avec les privilèges d'administration.
Produits concernés : NetWorker, FortiClient, DB2 UDB, Notes, Tivoli Storage Manager, WebSphere MQ, Notepad++, PuTTY, X2GoClient.
Gravité : 3/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur.
Provenance : document.
Date création : 09/05/2016.
Dates révisions : 02/06/2016, 06/07/2016.
Références : 1610582, 1978168, 1978363, 1979808, 1980839, 1982467, 1982741, 1982809, 1983796, 1983797, 1983813, 1983814, 1983815, 1984184, 1984743, 1984863, 494999, CVE-2016-2542, ESA-2017-008, FG-IR-16-046, VIGILANCE-VUL-19558.

Description de la vulnérabilité

Les produits Flexera InstallShield et JRSoft Inno Setup sont utilisés pour construire des programme d'installation de logiciels.

Dans certains cas, les programmes générés chargent des modules d'extension dont le nom et l'emplacement peuvent dépendre des paquets produits. Cependant, dans certains cas, ces DLL sont chargés depuis un dossier accessible en écriture à un utilisateur non privilégié, alors que le programme qui va le charger et l'exécuter a vocation a être exécuté depuis le compte administrateur. Un cas typique est celui ou le programme d'installation est exécuté depuis le dossier des téléchargements d'un navigateur. Notons que le programme d'installation ainsi produit n'a vocation a n'être exécuté que rarement, ce qui limite les possibilités d'exploitation.

Ce problème a déjà été traité pour d'autres produits dans le bulletin VIGILANCE-VUL-18671.

Un attaquant peut donc créer une DLL malveillante dans un chemin de recherche de Flexera InstallShield ou JRSoft Inno Setup, afin d'exécuter du code avec les privilèges d'administration.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2016-4463

Apache Xerces-C : déni de service via une DTD fortement imbriquée

Synthèse de la vulnérabilité

Un attaquant peut soumettre un document XML avec une DTD interne très imbriquée à Apache Xerces-C, afin de mener un déni de service.
Produits concernés : Xerces-C++, Debian, BIG-IP Hardware, TMOS, Fedora, Notes, McAfee Web Gateway, openSUSE, openSUSE Leap, Oracle Communications, RHEL, Shibboleth SP, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : document.
Date création : 30/06/2016.
Références : 1983969, 1984073, 1987066, 1990410, cpujul2018, CVE-2016-4463, DLA-535-1, DSA-3610-1, FEDORA-2016-0a061f6dd9, FEDORA-2016-7615febbd6, FEDORA-2016-84373c5f4f, FEDORA-2016-87e8468465, FEDORA-2016-9284772686, FEDORA-2016-d2d6890690, FEDORA-2018-51ce232320, openSUSE-SU-2016:1808-1, openSUSE-SU-2016:2232-1, RHSA-2018:3335-01, RHSA-2018:3506-01, RHSA-2018:3514-01, SB10276, SOL70191975, SUSE-SU-2018:3277-1, VIGILANCE-VUL-20001.

Description de la vulnérabilité

L'analyseur XML Apache Xerces-C traite les définitions de type de document, y compris les fragments internes au document XML.

Les DTD sont analysées récursivement. Cependant, il n'y a pas de limite à la profondeur d'imbrication des définitions d'éléments. Une DTD extrêmement imbriquée provoque donc un débordement de pile et la mort du processus applicatif.

Un attaquant peut donc soumettre un document XML avec une DTD interne très imbriquée à Apache Xerces-C, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2016-4472

expat : déni de service via un fichier CHM

Synthèse de la vulnérabilité

Un attaquant peut provoquer une erreur de manipulation de pointeurs lors du traitement d'un fichier CHM par expat, afin de mener un déni de service.
Produits concernés : Fedora, Notes, WebSphere AS Traditional, Python, Slackware, Nessus, Ubuntu.
Gravité : 1/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : document.
Date création : 20/06/2016.
Références : 1988026, 1990421, 1990658, CERTFR-2018-AVI-288, CVE-2016-4472, FEDORA-2016-0fd6ca526a, FEDORA-2016-60889583ab, FEDORA-2016-7c6e7a9265, SSA:2016-359-01, SSA:2017-266-02, SSA:2018-124-01, TNS-2018-08, USN-3013-1, VIGILANCE-VUL-19932.

Description de la vulnérabilité

Un attaquant peut provoquer une erreur de manipulation de pointeurs lors du traitement d'un fichier CHM par expat, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2012-6702

expat : mauvaise génération de pseudo aléa

Synthèse de la vulnérabilité

Le changement destiné à corriger VIGILANCE-VUL-11420 a introduit une mauvaise initialisation du générateur d'aléa.
Produits concernés : Debian, BIG-IP Hardware, TMOS, Fedora, Android OS, Notes, openSUSE Leap, Slackware, Nessus, Ubuntu.
Gravité : 2/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : document.
Date création : 08/06/2016.
Références : 1990421, 1990658, CERTFR-2018-AVI-288, CVE-2012-6702, DLA-508-1, DSA-3597-1, FEDORA-2016-0fd6ca526a, FEDORA-2016-60889583ab, FEDORA-2016-7c6e7a9265, K65460334, openSUSE-SU-2017:0483-1, SSA:2016-359-01, TNS-2018-08, USN-3010-1, USN-3013-1, VIGILANCE-VUL-19837.

Description de la vulnérabilité

Le changement destiné à corriger VIGILANCE-VUL-11420 a introduit une mauvaise initialisation du générateur d'aléa.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2016-5300

expat : déni de service via collision de hachés

Synthèse de la vulnérabilité

Un attaquant peut provoquer des collisions dans des tables de hachage, afin de réduire les performances de l'application utilisatrice de expat.
Produits concernés : Debian, BIG-IP Hardware, TMOS, Fedora, Android OS, Notes, openSUSE Leap, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle Internet Directory, Tuxedo, WebLogic, Python, Slackware, Nessus, Ubuntu.
Gravité : 2/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : document.
Date création : 08/06/2016.
Références : 1990421, 1990658, CERTFR-2018-AVI-288, cpujul2018, CVE-2016-5300, DLA-508-1, DSA-3597-1, FEDORA-2016-0fd6ca526a, FEDORA-2016-60889583ab, FEDORA-2016-7c6e7a9265, K70938105, openSUSE-SU-2017:0483-1, SOL70938105, SSA:2016-359-01, SSA:2018-124-01, TNS-2018-08, USN-3010-1, USN-3013-1, VIGILANCE-VUL-19836.

Description de la vulnérabilité

Un attaquant peut provoquer des collisions dans des tables de hachage, afin de réduire les performances de l'application utilisatrice de expat. La vulnérabilité originelle est décrite dans VIGILANCE-VUL-11420.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité CVE-2016-0718

Expat : buffer overflow

Synthèse de la vulnérabilité

Un attaquant peut provoquer un buffer overflow de Expat, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : Mac OS X, Debian, BIG-IP Hardware, TMOS, Fedora, Android OS, Notes, Security Directory Server, WebSphere AS Traditional, openSUSE, openSUSE Leap, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle Internet Directory, Solaris, Tuxedo, WebLogic, Python, RHEL, Slackware, SUSE Linux Enterprise Desktop, SLES, Nessus, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : document.
Date création : 18/05/2016.
Références : 1988026, 1990421, 1990658, 2000347, bulletinjul2016, CERTFR-2018-AVI-288, cpujul2018, CVE-2016-0718, DSA-3582-1, FEDORA-2016-0fd6ca526a, FEDORA-2016-60889583ab, FEDORA-2016-7c6e7a9265, HT206903, K52320548, openSUSE-SU-2016:1441-1, openSUSE-SU-2016:1523-1, RHSA-2016:2824-01, SSA:2016-359-01, SSA:2017-266-02, SSA:2018-124-01, SUSE-SU-2016:1508-1, SUSE-SU-2016:1512-1, TNS-2016-11, TNS-2018-08, USN-2983-1, USN-3013-1, VIGILANCE-VUL-19644.

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow de Expat, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur IBM Notes :