L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Juniper Junos Space Security Design

avis de vulnérabilité informatique CVE-2013-1741 CVE-2013-2566 CVE-2013-5605

NSS : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de NSS.
Produits concernés : Debian, Fedora, Junos Space, Firefox, NSS, SeaMonkey, Thunderbird, openSUSE, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Solaris, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, Slackware, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, transit de données, déni de service du service, déni de service du client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 4.
Date création : 18/11/2013.
Date révision : 19/11/2013.
Références : BID-58796, BID-63736, BID-63737, BID-63738, CERTA-2013-AVI-642, CERTFR-2014-AVI-318, CERTFR-2017-AVI-012, cpuapr2017, cpujul2014, cpuoct2016, cpuoct2017, CVE-2013-1741, CVE-2013-2566, CVE-2013-5605, CVE-2013-5606, DSA-2800-1, DSA-2994-1, DSA-3071-1, FEDORA-2013-22456, FEDORA-2013-22467, FEDORA-2013-23301, FEDORA-2013-23479, JSA10770, MFSA 2013-103, openSUSE-SU-2013:1730-1, openSUSE-SU-2013:1732-1, RHSA-2013:1791-01, RHSA-2013:1829-01, RHSA-2013:1840-01, RHSA-2013:1841-01, RHSA-2014:0041-01, SSA:2013-339-01, SSA:2013-339-02, SSA:2013-339-03, SUSE-SU-2013:1807-1, VIGILANCE-VUL-13789.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans NSS.

Sur un ordinateur 64 bits, un attaquant peut provoquer l'initialisation d'une grande zone mémoire, afin de mener un déni de service. [grav:1/4; BID-63736, CVE-2013-1741]

Un attaquant peut provoquer un buffer overflow dans Null Cipher, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; BID-63738, CVE-2013-5605]

Lorsque verifyLog est utilisé, le code de retour de CERT_VerifyCert() n'est pas correct, ce qui peut conduire à l'acceptation d'un certificat invalide. [grav:2/4; BID-63737, CVE-2013-5606]

Lorsqu'un attaquant dispose de 2^30 messages chiffrés par RC4 avec des clés différentes, il peut retrouver le message en clair (VIGILANCE-VUL-12530). [grav:1/4; BID-58796, CVE-2013-2566]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2012-2750 CVE-2013-2251 CVE-2013-3839

MySQL : multiples vulnérabilités d'octobre 2013

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de MySQL sont corrigées dans le CPU d'octobre 2013.
Produits concernés : Debian, Fedora, Junos Space, Junos Space Network Management Platform, MySQL Community, MySQL Enterprise, Solaris, Percona Server, RHEL.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : compte utilisateur.
Nombre de vulnérabilités dans ce bulletin : 8.
Date création : 16/10/2013.
Références : BID-63105, BID-63107, BID-63109, BID-63113, BID-63116, BID-63119, BID-63125, bulletinoct2015, CERTA-2013-AVI-589, cpuoct2013, CVE-2012-2750, CVE-2013-2251, CVE-2013-3839, CVE-2013-5767, CVE-2013-5770, CVE-2013-5786, CVE-2013-5793, CVE-2013-5807, DSA-2780-1, DSA-2818-1, FEDORA-2013-19648, FEDORA-2013-19654, MDVSA-2013:250, RHSA-2014:0173-01, RHSA-2014:0186-01, RHSA-2014:0189-01, VIGILANCE-VUL-13606.

Description de la vulnérabilité

Un Critical Patch Update corrige plusieurs vulnérabilités concernant MySQL.

Un attaquant peut employer une vulnérabilité de Service Manager, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-2251]

Un attaquant peut employer une vulnérabilité de Replication, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-63105, CVE-2013-5807]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-63107, CVE-2013-5786]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-63125, CVE-2012-2750]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-63109, CVE-2013-3839]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-63113, CVE-2013-5767]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-63116, CVE-2013-5793]

Un attaquant peut employer une vulnérabilité de Locking, afin de mener un déni de service. [grav:1/4; BID-63119, CVE-2013-5770]
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2013-5095 CVE-2013-5096 CVE-2013-5097

Junos Space : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Junos Space.
Produits concernés : Junos Space, Junos Space Network Management Platform.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 19/08/2013.
Références : BID-61791, BID-61794, BID-61795, CERTA-2013-AVI-508, CVE-2013-5095, CVE-2013-5096, CVE-2013-5097, JSA10585, PR 863804, PR 879462, PR 884469, VIGILANCE-VUL-13285.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Junos Space.

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; BID-61791, CVE-2013-5095, PR 884469]

Un attaquant avec des privilèges de type lecture-seule peut modifier la configuration. [grav:2/4; BID-61794, CVE-2013-5096, PR 863804]

Un attaquant peut obtenir le haché des mots de passe, puis mener une attaque par brute force pour les retrouver. [grav:2/4; BID-61795, CVE-2013-5097, PR 879462]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2013-2249

Apache HTTP Server : vulnérabilité de mod_session_dbd

Synthèse de la vulnérabilité

Une vulnérabilité a été annoncée dans le module mod_session_dbd de Apache HTTP Server.
Produits concernés : Apache httpd, Fedora, Junos Space, Slackware.
Gravité : 2/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Date création : 22/07/2013.
Références : BID-61379, CERTA-2013-AVI-435, CERTFR-2015-AVI-431, CERTFR-2016-AVI-300, CVE-2013-2249, FEDORA-2013-13922, FEDORA-2013-13994, JSA10698, SSA:2013-218-02, VIGILANCE-VUL-13151.

Description de la vulnérabilité

Le module mod_session_dbd permet de stocker les sessions HTTP dans une base de donnée.

Cependant, ce module ne gère pas correctement le changement des données ("dirty flag").
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2013-1861 CVE-2013-3783 CVE-2013-3793

MySQL : multiples vulnérabilités de juillet 2013

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de MySQL sont corrigées dans le CPU de juillet 2013.
Produits concernés : Debian, Junos Space, Junos Space Network Management Platform, MySQL Community, MySQL Enterprise, openSUSE, Solaris, Percona Server, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 18.
Date création : 17/07/2013.
Références : BID-58511, BID-61210, BID-61214, BID-61222, BID-61227, BID-61233, BID-61235, BID-61238, BID-61244, BID-61249, BID-61252, BID-61256, BID-61260, BID-61264, BID-61269, BID-61272, BID-61274, bulletinoct2015, CERTA-2013-AVI-419, CERTA-2013-AVI-543, cpujuly2013, CVE-2013-1861, CVE-2013-3783, CVE-2013-3793, CVE-2013-3794, CVE-2013-3795, CVE-2013-3796, CVE-2013-3798, CVE-2013-3801, CVE-2013-3802, CVE-2013-3804, CVE-2013-3805, CVE-2013-3806, CVE-2013-3807, CVE-2013-3808, CVE-2013-3809, CVE-2013-3810, CVE-2013-3811, CVE-2013-3812, DSA-2818-1, JSA10601, MDVSA-2013:197, openSUSE-SU-2013:1335-1, openSUSE-SU-2013:1410-1, SUSE-SU-2013:1390-1, SUSE-SU-2013:1529-1, VIGILANCE-VUL-13132.

Description de la vulnérabilité

Un Critical Patch Update corrige plusieurs vulnérabilités concernant MySQL.

Un attaquant authentifié peut employer une requête de géométrie, afin de stopper MySQL (VIGILANCE-VUL-12529). [grav:2/4; BID-58511, CVE-2013-1861]

Un attaquant peut employer une vulnérabilité de MemCached, afin d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-61274, CVE-2013-3798]

Un attaquant peut employer une vulnérabilité de Audit Log, afin d'altérer des informations. [grav:2/4; BID-61272, CVE-2013-3809]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-61264, CVE-2013-3793]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-61238, CVE-2013-3795]

Un attaquant peut employer une vulnérabilité de Full Text Search, afin de mener un déni de service. [grav:2/4; BID-61244, CVE-2013-3802]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-61235, CVE-2013-3806]

Un attaquant peut employer une vulnérabilité de Prepared Statements, afin de mener un déni de service. [grav:2/4; BID-61256, CVE-2013-3805]

Un attaquant peut employer une vulnérabilité de Server Optimizer, afin de mener un déni de service. [grav:2/4; BID-61260, CVE-2013-3804]

Un attaquant peut employer une vulnérabilité de Server Optimizer, afin de mener un déni de service. [grav:2/4; BID-61233, CVE-2013-3796]

Un attaquant peut employer une vulnérabilité de Server Options, afin de mener un déni de service. [grav:2/4; BID-61227, CVE-2013-3808]

Un attaquant peut employer une vulnérabilité de Server Options, afin de mener un déni de service. [grav:2/4; BID-61269, CVE-2013-3801]

Un attaquant peut employer une vulnérabilité de Server Parser, afin de mener un déni de service. [grav:2/4; BID-61210, CVE-2013-3783]

Un attaquant peut employer une vulnérabilité de Server Partition, afin de mener un déni de service. [grav:2/4; BID-61222, CVE-2013-3794]

Un attaquant peut employer une vulnérabilité de Server Privileges, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-61238, CVE-2013-3807]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-61252, CVE-2013-3811]

Un attaquant peut employer une vulnérabilité de Server Replication, afin de mener un déni de service. [grav:2/4; BID-61249, CVE-2013-3812]

Un attaquant peut employer une vulnérabilité de XA Transactions, afin de mener un déni de service. [grav:2/4; BID-61214, CVE-2013-3810]
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2013-1896

Apache HTTP Server : déni de service via mod_dav

Synthèse de la vulnérabilité

Un attaquant peut envoyer une requête MERGE pour mod_dav de Apache HTTP Server, afin de mener un déni de service.
Produits concernés : Apache httpd, Fedora, HP-UX, Junos Space, Junos Space Network Management Platform, NSMXpress, openSUSE, Solaris, RHEL, JBoss EAP par Red Hat, Slackware, SLES.
Gravité : 2/4.
Conséquences : déni de service du service.
Provenance : client intranet.
Date création : 15/07/2013.
Références : BID-61129, c03922406, CERTA-2013-AVI-435, CERTA-2013-AVI-543, CERTA-2013-AVI-590, CERTFR-2014-AVI-112, CERTFR-2014-AVI-244, CERTFR-2015-AVI-286, CVE-2013-1896, FEDORA-2013-13922, FEDORA-2013-13994, HPSBUX02927, JSA10685, MDVSA-2013:193, openSUSE-SU-2013:1337-1, openSUSE-SU-2013:1340-1, openSUSE-SU-2013:1341-1, openSUSE-SU-2014:1647-1, RHSA-2013:1133-01, RHSA-2013:1134-01, RHSA-2013:1156-01, RHSA-2013:1207-01, RHSA-2013:1208-01, RHSA-2013:1209-01, SSA:2013-218-02, SSRT101288, SUSE-SU-2014:1082-1, VIGILANCE-VUL-13117.

Description de la vulnérabilité

Le module mod_dav (DAV, Distributed Authoring and Versioning) s'installe sur Apache HTTP Server.

La commande MERGE de mod_dav_svn applique les différences entre deux sources Subversion. Cependant, si cette commande indique une URI non configurée pour DAV, une erreur de segmentation se produit dans mod_dav.

Un attaquant peut donc envoyer une requête MERGE pour mod_dav de Apache HTTP Server, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2013-1862

Apache httpd 2.2 : injection de caractères via de mod_rewrite

Synthèse de la vulnérabilité

Un attaquant peut utiliser des caractères spéciaux, qui ne sont pas filtrés par mod_rewrite de Apache httpd 2.2, afin de les injecter dans les journaux.
Produits concernés : Apache httpd, BIG-IP Hardware, TMOS, HP-UX, Junos Space, Junos Space Network Management Platform, NSMXpress, openSUSE, Solaris, RHEL, JBoss EAP par Red Hat, SLES.
Gravité : 2/4.
Conséquences : création/modification de données.
Provenance : client internet.
Date création : 14/05/2013.
Références : BID-59826, c03922406, CERTA-2013-AVI-332, CERTA-2013-AVI-543, CERTA-2013-AVI-590, CERTFR-2014-AVI-112, CERTFR-2014-AVI-244, CERTFR-2014-AVI-502, CERTFR-2015-AVI-286, CVE-2013-1862, HPSBUX02927, JSA10685, MDVSA-2013:174, openSUSE-SU-2013:1337-1, openSUSE-SU-2013:1340-1, openSUSE-SU-2013:1341-1, openSUSE-SU-2014:1647-1, RHSA-2013:0815-01, RHSA-2013:1133-01, RHSA-2013:1134-01, RHSA-2013:1207-01, RHSA-2013:1208-01, RHSA-2013:1209-01, SOL15877, SSRT101288, SUSE-SU-2014:1082-1, VIGILANCE-VUL-12790.

Description de la vulnérabilité

Le module mod_rewrite de Apache httpd permet d'éditer les requêtes. La directive RewriteLog d'Apache 2.2 indique le nom du fichier où journaliser les modifications effectuées.

Cependant, les caractères spéciaux contenus dans le nom du client, de l'utilisateur ou le texte libre ne sont pas filtrés.

Un attaquant peut donc utiliser des caractères spéciaux, qui ne sont pas filtrés par mod_rewrite de Apache httpd 2.2, afin de les injecter dans les journaux.

Si l'attaquant injecte des séquences d'échappement ANSI, elles seront alors interprétées lorsque l'administrateur consultera les journaux dans un terminal shell.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2013-3497

Junos Space : lecture du mot de passe via l'interface web

Synthèse de la vulnérabilité

Un attaquant, qui peut lire l'écran de l'administrateur, peut voir le mot de passe affiché dans l'interface web de Junos Space, afin de s'authentifier sur le produit.
Produits concernés : Junos Space, Junos Space Network Management Platform.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : console utilisateur.
Date création : 13/05/2013.
Références : BID-59760, CVE-2013-3497, KB27374, PSN-2013-05-939, VIGILANCE-VUL-12775.

Description de la vulnérabilité

L'interface web de Junos Space permet à l'administrateur de modifier et consulter la configuration.

Cependant, certains mots de passe sont affichés directement, sans être masqués par des astérisques.

Un attaquant, qui peut lire l'écran de l'administrateur, peut donc voir le mot de passe affiché dans l'interface web de Junos Space, afin de s'authentifier sur le produit.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité CVE-2012-5614 CVE-2013-1502 CVE-2013-1506

MySQL : multiples vulnérabilités d'avril 2013

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de MySQL sont corrigées dans le CPU d'avril 2013.
Produits concernés : Debian, Junos Space, Junos Space Network Management Platform, MySQL Community, MySQL Enterprise, Solaris, Percona Server, RHEL.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : compte utilisateur.
Nombre de vulnérabilités dans ce bulletin : 25.
Date création : 17/04/2013.
Références : BID-59173, BID-59180, BID-59188, BID-59196, BID-59201, BID-59202, BID-59205, BID-59207, BID-59209, BID-59210, BID-59211, BID-59215, BID-59216, BID-59217, BID-59218, BID-59222, BID-59223, BID-59224, BID-59225, BID-59227, BID-59229, BID-59232, BID-59237, BID-59239, BID-59242, bulletinjul2016, bulletinoct2015, CERTA-2013-AVI-253, cpuapr2013, CVE-2012-5614, CVE-2013-1502, CVE-2013-1506, CVE-2013-1511, CVE-2013-1512, CVE-2013-1521, CVE-2013-1523, CVE-2013-1526, CVE-2013-1531, CVE-2013-1532, CVE-2013-1544, CVE-2013-1548, CVE-2013-1552, CVE-2013-1555, CVE-2013-1566, CVE-2013-1567, CVE-2013-1570, CVE-2013-2375, CVE-2013-2376, CVE-2013-2378, CVE-2013-2381, CVE-2013-2389, CVE-2013-2391, CVE-2013-2392, CVE-2013-2395, DSA-2667-1, MDVSA-2013:150, RHSA-2013:0772-01, VIGILANCE-VUL-12684.

Description de la vulnérabilité

Un Critical Patch Update corrige plusieurs vulnérabilités concernant MySQL.

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:3/4; BID-59173, CVE-2013-2395]

Un attaquant peut employer une vulnérabilité de Server Locking, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59180, CVE-2013-1521]

Un attaquant peut employer une vulnérabilité de Information Schema, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59188, CVE-2013-2378]

Un attaquant peut employer une vulnérabilité de Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59196, CVE-2013-1552]

Un attaquant peut employer une vulnérabilité de Server Privileges, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59202, CVE-2013-1531]

Un attaquant peut employer une vulnérabilité de Server Privileges, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59209, CVE-2013-2375]

Un attaquant peut employer une vulnérabilité de MemCached, afin de mener un déni de service. [grav:2/4; BID-59216, CVE-2013-1570]

Un attaquant peut employer une vulnérabilité de Server Optimizer, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-59225, CVE-2013-1523]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-59229, CVE-2013-1544]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-59218, CVE-2013-1512]

Un attaquant peut employer une vulnérabilité de Information Schema, afin de mener un déni de service. [grav:2/4; BID-59211, CVE-2013-1532]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-59207, CVE-2013-2389]

Un attaquant peut employer une vulnérabilité de Server Optimizer, afin de mener un déni de service. [grav:2/4; BID-59224, CVE-2013-2392]

Un attaquant peut employer une vulnérabilité de Server Partition, afin de mener un déni de service. [grav:2/4; BID-59210, CVE-2013-1555]

Un attaquant peut employer une vulnérabilité de Server Replication, afin de mener un déni de service. [grav:2/4; BID-59217, CVE-2013-1526]

Un attaquant peut employer une vulnérabilité de Server XML, afin de mener un déni de service (VIGILANCE-VUL-12198). [grav:2/4; BID-59222, CVE-2012-5614]

Un attaquant peut employer une vulnérabilité de Stored Procedure, afin de mener un déni de service. [grav:2/4; BID-59227, CVE-2013-2376]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-59232, CVE-2013-1567]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-59201, CVE-2013-1511]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-59205, CVE-2013-1566]

Un attaquant peut employer une vulnérabilité de Server Privileges, afin d'altérer des informations. [grav:2/4; BID-59215, CVE-2013-2381]

Un attaquant peut employer une vulnérabilité de Server Types, afin de mener un déni de service. [grav:2/4; BID-59223, CVE-2013-1548]

Un attaquant peut employer une vulnérabilité de Server Install, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-59242, CVE-2013-2391]

Un attaquant peut employer une vulnérabilité de Server Locking, afin de mener un déni de service. [grav:1/4; BID-59237, CVE-2013-1506]

Un attaquant peut employer une vulnérabilité de Server Partition, afin de mener un déni de service. [grav:1/4; BID-59239, CVE-2013-1502]
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2013-0401 CVE-2013-0402 CVE-2013-1488

Oracle JRE, JDK, JavaFX : multiples vulnérabilités

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de Oracle JRE, JDK et JavaFX permettent à une applet/application illicite d'exécuter du code ou d'obtenir des informations. Une applet/application légitime, manipulant des données illicites, peut aussi être forcée à exécuter du code.
Produits concernés : Fedora, HP-UX, Domino, Notes, Tivoli System Automation, Junos Space, Junos Space Network Management Platform, Java OpenJDK, openSUSE, Java Oracle, JavaFX, Solaris, RHEL, SUSE Linux Enterprise Desktop, SLES, Unix (plateforme) ~ non exhaustif.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service.
Provenance : client internet.
Nombre de vulnérabilités dans ce bulletin : 42.
Date création : 17/04/2013.
Références : BID-59088, BID-59089, BID-59124, BID-59128, BID-59131, BID-59137, BID-59141, BID-59145, BID-59149, BID-59153, BID-59154, BID-59159, BID-59162, BID-59165, BID-59166, BID-59167, BID-59170, BID-59172, BID-59175, BID-59178, BID-59179, BID-59184, BID-59185, BID-59187, BID-59190, BID-59191, BID-59194, BID-59195, BID-59203, BID-59206, BID-59208, BID-59212, BID-59213, BID-59219, BID-59220, BID-59228, BID-59234, BID-59243, bulletinoct2015, c03874547, c03898880, CERTA-2013-AVI-256, CVE-2013-0401, CVE-2013-0402, CVE-2013-1488, CVE-2013-1491, CVE-2013-1518, CVE-2013-1537, CVE-2013-1540, CVE-2013-1557, CVE-2013-1558, CVE-2013-1561, CVE-2013-1563, CVE-2013-1564, CVE-2013-1569, CVE-2013-2383, CVE-2013-2384, CVE-2013-2394, CVE-2013-2414, CVE-2013-2415, CVE-2013-2416, CVE-2013-2417, CVE-2013-2418, CVE-2013-2419, CVE-2013-2420, CVE-2013-2421, CVE-2013-2422, CVE-2013-2423, CVE-2013-2424, CVE-2013-2425, CVE-2013-2426, CVE-2013-2427, CVE-2013-2428, CVE-2013-2429, CVE-2013-2430, CVE-2013-2431, CVE-2013-2432, CVE-2013-2433, CVE-2013-2434, CVE-2013-2435, CVE-2013-2436, CVE-2013-2438, CVE-2013-2439, CVE-2013-2440, FEDORA-2013-5922, FEDORA-2013-5958, HPSBUX02908, HPSBUX02922, javacpuapr2013, KLYH95CMCJ, MDVSA-2013:145, MDVSA-2013:161, openSUSE-SU-2013:0745-1, openSUSE-SU-2013:0777-1, openSUSE-SU-2013:0964-1, openSUSE-SU-2013:0993-1, RHSA-2013:0751-01, RHSA-2013:0752-01, RHSA-2013:0757-01, RHSA-2013:0758-01, RHSA-2013:0770-01, RHSA-2013:0822-01, RHSA-2013:0823-01, RHSA-2013:0855-01, RHSA-2013:1455-01, RHSA-2013:1456-01, SA-20130417-1, SE-2012-01, SSRT101305, SUSE-SU-2013:0814-1, SUSE-SU-2013:0835-1, SUSE-SU-2013:0835-2, SUSE-SU-2013:0835-3, SUSE-SU-2013:0871-1, SUSE-SU-2013:0871-2, SUSE-SU-2013:0934-1, swg21644918, swg21645096, swg21645100, VIGILANCE-VUL-12678, ZDI-13-068, ZDI-13-069, ZDI-13-070, ZDI-13-071, ZDI-13-072, ZDI-13-073, ZDI-13-074, ZDI-13-075, ZDI-13-076, ZDI-13-077, ZDI-13-078, ZDI-13-079, ZDI-13-089.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle JRE, JDK et JavaFX. Les plus graves de ces vulnérabilités conduisent à l'exécution de code.

Un attaquant peut employer une vulnérabilité de ICU 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59190, CVE-2013-2383, ZDI-13-070]

Un attaquant peut employer une vulnérabilité de ICU 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59179, CVE-2013-2384, ZDI-13-068]

Un attaquant peut employer une vulnérabilité de ICU 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59166, CVE-2013-1569, ZDI-13-069]

Un attaquant peut employer une vulnérabilité de 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59137, CVE-2013-2434, ZDI-13-071]

Un attaquant peut employer une vulnérabilité de 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59154, CVE-2013-2432]

Un attaquant peut employer une vulnérabilité de 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59167, CVE-2013-2420, ZDI-13-073]

Un attaquant peut employer une vulnérabilité de 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-1491, ZDI-13-078]

Un attaquant peut employer une vulnérabilité de Beans, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59219, CVE-2013-1558]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59124, CVE-2013-2440]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59089, CVE-2013-2435]

Un attaquant peut employer une vulnérabilité de Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59165, CVE-2013-2431]

Un attaquant peut employer une vulnérabilité de Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59191, CVE-2013-2425]

Un attaquant peut employer une vulnérabilité de JAXP, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59141, CVE-2013-1518]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59234, CVE-2013-2414]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59175, CVE-2013-2428, ZDI-13-074]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59128, CVE-2013-2427]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59228, CVE-2013-2422]

Un attaquant peut employer une vulnérabilité de RMI, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59194, CVE-2013-1537]

Un attaquant peut employer une vulnérabilité de RMI, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59170, CVE-2013-1557]

Un attaquant peut employer une vulnérabilité de HotSpot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59153, CVE-2013-2421]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-0402, ZDI-13-077]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59206, CVE-2013-2426, ZDI-13-075]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59213, CVE-2013-2436, ZDI-13-079]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-1488, ZDI-13-076]

Un attaquant peut employer une vulnérabilité de 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59172, CVE-2013-2394, ZDI-13-072]

Un attaquant peut employer une vulnérabilité de ImageIO, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59243, CVE-2013-2430]

Un attaquant peut employer une vulnérabilité de ImageIO, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59184, CVE-2013-2429]

Un attaquant peut employer une vulnérabilité de Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59208, CVE-2013-1563]

Un attaquant peut employer une vulnérabilité de Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-59178, CVE-2013-2439]

Un attaquant peut employer une vulnérabilité de AWT, afin d'obtenir ou d'altérer des informations. [grav:3/4; CVE-2013-0401, ZDI-13-089]

Un attaquant peut employer une vulnérabilité de ICU 2D, afin de mener un déni de service. [grav:2/4; BID-59131, CVE-2013-2419]

Un attaquant peut employer une vulnérabilité de JMX, afin d'obtenir des informations. [grav:2/4; BID-59159, CVE-2013-2424]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations. [grav:2/4; BID-59203, CVE-2013-1561]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'altérer des informations. [grav:2/4; BID-59195, CVE-2013-1564]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'altérer des informations. [grav:2/4; BID-59185, CVE-2013-2438]

Un attaquant peut employer une vulnérabilité de Networking, afin de mener un déni de service. [grav:2/4; BID-59187, CVE-2013-2417]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-59145, CVE-2013-2418]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'altérer des informations. [grav:2/4; BID-59088, CVE-2013-2416, SA-20130417-1]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'altérer des informations. [grav:2/4; BID-59220, CVE-2013-2433]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'altérer des informations. [grav:2/4; BID-59149, CVE-2013-1540]

Un attaquant peut employer une vulnérabilité de Hotspot, afin d'altérer des informations. [grav:2/4; BID-59162, CVE-2013-2423]

Un attaquant peut employer une vulnérabilité de JAX-WS, afin d'obtenir des informations. [grav:1/4; BID-59212, CVE-2013-2415]
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Juniper Junos Space Security Design :