L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de IBM TSA

bulletin de vulnérabilité CVE-2017-1583

WebSphere AS : obtention d'information via JSF MyFaces Errors

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via JSF MyFaces Errors de WebSphere AS, afin d'obtenir des informations sensibles.
Produits concernés : Tivoli System Automation, WebSphere AS Liberty, WebSphere AS Traditional.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Date création : 24/10/2017.
Références : 2008707, 2010466, CVE-2017-1583, VIGILANCE-VUL-24223.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via JSF MyFaces Errors de WebSphere AS, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2011-4343

Apache MyFaces Core : obtention d'information

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données de Apache MyFaces Core, afin d'obtenir des informations sensibles.
Produits concernés : Tivoli System Automation, WebSphere AS Liberty, WebSphere AS Traditional.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Date création : 24/10/2017.
Références : 2008707, 2010466, CVE-2011-4343, VIGILANCE-VUL-24222.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données de Apache MyFaces Core, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2017-10274 CVE-2017-10281 CVE-2017-10285

Oracle Java : vulnérabilités de octobre 2017

Synthèse de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Produits concernés : Debian, Fedora, AIX, DB2 UDB, IRAD, Rational ClearCase, Security Directory Server, QRadar SIEM, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Liberty, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, Junos Space, ePO, Java OpenJDK, openSUSE Leap, Java Oracle, RHEL, SUSE Linux Enterprise Desktop, SLES, Synology DSM, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service, déni de service du client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 20.
Date création : 18/10/2017.
Références : 2010282, 2010560, 2011264, 2012279, 2013081, 2013150, 2013545, 2014202, 2014981, 2015655, 2015825, 2016207, CERTFR-2017-AVI-366, cpuoct2017, CVE-2017-10274, CVE-2017-10281, CVE-2017-10285, CVE-2017-10293, CVE-2017-10295, CVE-2017-10309, CVE-2017-10341, CVE-2017-10342, CVE-2017-10345, CVE-2017-10346, CVE-2017-10347, CVE-2017-10348, CVE-2017-10349, CVE-2017-10350, CVE-2017-10355, CVE-2017-10356, CVE-2017-10357, CVE-2017-10380, CVE-2017-10386, CVE-2017-10388, DLA-1187-1, DSA-4015-1, DSA-4048-1, FEDORA-2017-7b17451b82, FEDORA-2017-98a361c2b5, FEDORA-2017-b1492e4844, FEDORA-2017-e7938fd7d7, ibm10718843, JSA10873, openSUSE-SU-2017:2998-1, openSUSE-SU-2018:0042-1, RHSA-2017:2998-01, RHSA-2017:2999-01, RHSA-2017:3046-01, RHSA-2017:3047-01, RHSA-2017:3264-01, RHSA-2017:3267-01, RHSA-2017:3268-01, RHSA-2017:3392-01, SB10212, SRC-2017-0028, SUSE-SU-2017:2989-1, SUSE-SU-2017:3235-1, SUSE-SU-2017:3369-1, SUSE-SU-2017:3411-1, SUSE-SU-2017:3440-1, SUSE-SU-2017:3455-1, SUSE-SU-2018:0005-1, SUSE-SU-2018:0061-1, swg22012279, Synology-SA-17:66, USN-3473-1, USN-3497-1, VIGILANCE-VUL-24161.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2017-1503

WebSphere AS : accès en lecture et écriture via Edge Caching Proxy

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès via Edge Caching Proxy de WebSphere AS, afin de lire ou modifier des données.
Produits concernés : Security Directory Server, Tivoli Directory Server, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : document.
Date création : 09/10/2017.
Références : 2006815, 2009501, 2010467, 2010701, CVE-2017-1503, VIGILANCE-VUL-24060.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès via Edge Caching Proxy de WebSphere AS, afin de lire ou modifier des données.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2017-1501

WebSphere AS : obtention d'information via Admin Console Cipher Suites

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Admin Console Cipher Suites de IBM WebSphere AS, afin d'obtenir des informations sensibles.
Produits concernés : Tivoli System Automation, WebSphere AS Traditional.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client intranet.
Date création : 16/08/2017.
Références : 2006810, 2008123, 2008368, 7048591, CVE-2017-1501, VIGILANCE-VUL-23532.

Description de la vulnérabilité

Le produit IBM WebSphere AS dispose d'un service web.

Cependant, un attaquant peut contourner les restrictions d'accès aux données.

Un attaquant peut donc utiliser une vulnérabilité via Admin Console Cipher Suites de IBM WebSphere AS, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2017-1382

WebSphere AS : accès en lecture et écriture

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès de WebSphere AS, afin de lire ou modifier des données.
Produits concernés : Security Directory Server, Tivoli Directory Server, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, IBM WebSphere ESB.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : shell utilisateur.
Date création : 21/07/2017.
Références : 2004785, 2006348, 2006516, 2009026, 2009072, 2009082, 2009087, 2009089, 2009090, 7036319, 7048591, CVE-2017-1382, VIGILANCE-VUL-23310.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès de WebSphere AS, afin de lire ou modifier des données.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2017-1380

WebSphere AS : Cross Site Scripting via Admin Console

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting via Admin Console de WebSphere AS, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Tivoli Storage Manager, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, IBM WebSphere ESB.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Date création : 21/07/2017.
Références : 2004786, 2006342, 2006515, 2009072, 2009082, 2009087, 2009089, 2009090, 2009348, 7036319, 7048591, CVE-2017-1380, VIGILANCE-VUL-23309.

Description de la vulnérabilité

Le produit WebSphere AS dispose d'un service web.

Cependant, les données reçues via Admin Console ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting via Admin Console de WebSphere AS, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2017-10053 CVE-2017-10067 CVE-2017-10074

Oracle Java : vulnérabilités de juillet 2017

Synthèse de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Produits concernés : Debian, Fedora, AIX, Domino, Notes, Security Directory Server, QRadar SIEM, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, Junos Space, ePO, SnapManager, Java OpenJDK, openSUSE Leap, Java Oracle, JavaFX, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 32.
Date création : 19/07/2017.
Références : 2007002, 2008025, 2008360, 2008362, 2008757, 2009206, 2009232, 2009253, 2009415, 2009663, 2011594, 2012301, CERTFR-2017-AVI-223, cpujul2017, CVE-2017-10053, CVE-2017-10067, CVE-2017-10074, CVE-2017-10078, CVE-2017-10081, CVE-2017-10086, CVE-2017-10087, CVE-2017-10089, CVE-2017-10090, CVE-2017-10096, CVE-2017-10101, CVE-2017-10102, CVE-2017-10104, CVE-2017-10105, CVE-2017-10107, CVE-2017-10108, CVE-2017-10109, CVE-2017-10110, CVE-2017-10111, CVE-2017-10114, CVE-2017-10115, CVE-2017-10116, CVE-2017-10117, CVE-2017-10118, CVE-2017-10121, CVE-2017-10125, CVE-2017-10135, CVE-2017-10145, CVE-2017-10176, CVE-2017-10193, CVE-2017-10198, CVE-2017-10243, DLA-1073-1, DSA-3919-1, DSA-3954-1, DSA-4005-1, FEDORA-2017-605557de96, FEDORA-2017-721314e3b3, FEDORA-2017-735e2ae663, FEDORA-2017-be3df4fe14, FEDORA-2017-fe57cf60c3, ibm10718843, JSA10873, NTAP-20170720-0001, openSUSE-SU-2017:2211-1, openSUSE-SU-2018:0042-1, RHSA-2017:1789-01, RHSA-2017:1790-01, RHSA-2017:1791-01, RHSA-2017:1792-01, RHSA-2017:2424-01, RHSA-2017:2469-01, RHSA-2017:2481-01, RHSA-2017:2530-01, SB10208, SUSE-SU-2017:2175-1, SUSE-SU-2017:2263-1, SUSE-SU-2017:2280-1, SUSE-SU-2017:2281-1, SUSE-SU-2018:0005-1, USN-3366-1, USN-3366-2, USN-3396-1, VIGILANCE-VUL-23289.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2017-1381

WebSphere AS : obtention d'information via Proxy Server / ODR

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Proxy Server / ODR de WebSphere Application Server, afin d'obtenir des informations sensibles.
Produits concernés : Security Directory Server, Tivoli Directory Server, Tivoli Storage Manager, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, IBM WebSphere ESB.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client intranet.
Date création : 19/07/2017.
Références : 2004792, 2006343, 2006905, 2009023, 2009072, 2009082, 2009087, 2009089, 2009090, 2009348, 7048591, CVE-2017-1381, VIGILANCE-VUL-23275.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Proxy Server / ODR de WebSphere Application Server, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2017-1289

IBM JDK : injection d'entité XML externe

Synthèse de la vulnérabilité

Un attaquant peut transmettre des données XML malveillantes à IBM JDK, afin de lire un fichier, de scanner des sites, ou de mener un déni de service.
Produits concernés : AIX, Domino, Notes, Tivoli System Automation, RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service.
Provenance : document.
Date création : 10/05/2017.
Références : 2005058, 2005160, 2005255, 2007242, CVE-2017-1289, RHSA-2017:1220-01, RHSA-2017:1221-01, RHSA-2017:1222-01, SUSE-SU-2017:1384-1, SUSE-SU-2017:1386-1, SUSE-SU-2017:1387-1, SUSE-SU-2017:1444-1, VIGILANCE-VUL-22701.

Description de la vulnérabilité

Les données XML peuvent contenir des entités externes (DTD) :
  <!ENTITY nom SYSTEM "fichier">
  <!ENTITY nom SYSTEM "http://serveur/fichier">
Un programme lisant ces données XML peut remplacer ces entités par les données provenant du fichier indiqué. Lorsque le programme utilise des données XML de provenance non sûre, ce comportement permet de :
 - lire le contenu de fichiers situés sur le serveur
 - scanner des sites web privés
 - mener un déni de service en ouvrant un fichier bloquant
Cette fonctionnalité doit donc être désactivée pour traiter des données XML de provenance non sûre.

Cependant, le parseur de IBM JDK autorise les entités externes.

Un attaquant peut donc transmettre des données XML malveillantes à IBM JDK, afin de lire un fichier, de scanner des sites, ou de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur IBM TSA :