L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Juniper Junos Space Security Design

annonce de vulnérabilité CVE-2013-4316 CVE-2013-5860 CVE-2013-5881

MySQL : multiples vulnérabilités de janvier 2014

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de MySQL ont été annoncées en janvier 2014.
Produits concernés : Debian, BIG-IP Hardware, TMOS, Junos Space, MySQL Community, MySQL Enterprise, Solaris, Percona Server, RHEL, Slackware, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service, déni de service du client.
Provenance : compte utilisateur.
Nombre de vulnérabilités dans ce bulletin : 19.
Date création : 15/01/2014.
Références : BID-64849, BID-64854, BID-64864, BID-64868, BID-64873, BID-64877, BID-64880, BID-64885, BID-64888, BID-64891, BID-64893, BID-64895, BID-64896, BID-64897, BID-64898, BID-64904, BID-64908, BID-65298, bulletinoct2015, CERTA-2014-AVI-033, CERTFR-2014-AVI-480, CERTFR-2015-AVI-431, CERTFR-2016-AVI-300, cpujan2014, CVE-2013-4316, CVE-2013-5860, CVE-2013-5881, CVE-2013-5882, CVE-2013-5891, CVE-2013-5894, CVE-2013-5908, CVE-2014-0001, CVE-2014-0386, CVE-2014-0393, CVE-2014-0401, CVE-2014-0402, CVE-2014-0412, CVE-2014-0420, CVE-2014-0427, CVE-2014-0430, CVE-2014-0431, CVE-2014-0433, CVE-2014-0437, DSA-2845-1, DSA-2848-1, DSA-2919-1, JSA10659, JSA10698, K16385, MDVSA-2014:028, MDVSA-2014:029, MDVSA-2015:091, RHSA-2014:0164-01, RHSA-2014:0173-01, RHSA-2014:0186-01, RHSA-2014:0189-01, SOL16385, SOL16389, SSA:2014-050-02, SUSE-SU-2014:0769-1, USN-2170-1, VIGILANCE-VUL-14092.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans MySQL.

Un attaquant peut employer une vulnérabilité de MySQL Enterprise Monitor, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-4316]

Un attaquant peut employer une vulnérabilité de GIS, afin de mener un déni de service. [grav:3/4; BID-64864, CVE-2013-5860]

Un attaquant peut employer une vulnérabilité de Stored Procedure, afin de mener un déni de service. [grav:3/4; BID-64854, CVE-2013-5882]

Un attaquant peut employer une vulnérabilité de Thread Pooling, afin d'altérer des informations. [grav:2/4; BID-64895, CVE-2014-0433]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-64873, CVE-2013-5894]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-64885, CVE-2013-5881]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-64880, CVE-2014-0412]

Un attaquant peut employer une vulnérabilité de Locking, afin de mener un déni de service. [grav:2/4; BID-64908, CVE-2014-0402]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-64904, CVE-2014-0386]

Un attaquant peut employer une vulnérabilité de Partition, afin de mener un déni de service. [grav:2/4; BID-64891, CVE-2013-5891]

Un attaquant peut employer une vulnérabilité de Privileges, afin de mener un déni de service. [grav:2/4; BID-64898, CVE-2014-0401]

Un attaquant peut employer une vulnérabilité de FTS, afin de mener un déni de service. [grav:2/4; BID-64868, CVE-2014-0427]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-64897, CVE-2014-0431]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-64849, CVE-2014-0437]

Un attaquant peut employer une vulnérabilité de InnoDB, afin d'altérer des informations. [grav:2/4; BID-64877, CVE-2014-0393]

Un attaquant peut employer une vulnérabilité de Performance Schema, afin de mener un déni de service. [grav:1/4; BID-64893, CVE-2014-0430]

Un attaquant peut employer une vulnérabilité de Replication, afin de mener un déni de service. [grav:1/4; BID-64888, CVE-2014-0420]

Un attaquant peut employer une vulnérabilité de Error Handling, afin de mener un déni de service. [grav:1/4; BID-64896, CVE-2013-5908]

Un attaquant peut provoquer un buffer overflow dans client/mysql.cc, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; BID-65298, CVE-2014-0001]
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2013-5870 CVE-2013-5878 CVE-2013-5884

Oracle Java : multiples vulnérabilités de janvier 2014

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Java.
Produits concernés : Avamar, BIG-IP Hardware, TMOS, Fedora, HP-UX, AIX, Domino, Notes, IRAD, Tivoli System Automation, WebSphere AS Traditional, WebSphere MQ, Junos Space, Java OpenJDK, openSUSE, Java Oracle, JavaFX, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu, Unix (plateforme) ~ non exhaustif.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service, déni de service du client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 36.
Date création : 15/01/2014.
Références : 1663938, 1670264, 1671242, 1671245, 1674922, 1675938, 1679983, 4006386, 7014224, BID-64863, BID-64875, BID-64882, BID-64890, BID-64894, BID-64899, BID-64901, BID-64903, BID-64906, BID-64907, BID-64910, BID-64912, BID-64914, BID-64915, BID-64916, BID-64917, BID-64918, BID-64919, BID-64920, BID-64921, BID-64922, BID-64923, BID-64924, BID-64925, BID-64926, BID-64927, BID-64928, BID-64929, BID-64930, BID-64931, BID-64932, BID-64933, BID-64934, BID-64935, BID-64936, BID-64937, c04166777, c04166778, CERTA-2014-AVI-030, CERTFR-2014-AVI-199, CERTFR-2014-AVI-480, CERTFR-2016-AVI-300, cpujan2014, CVE-2013-5870, CVE-2013-5878, CVE-2013-5884, CVE-2013-5887, CVE-2013-5888, CVE-2013-5889, CVE-2013-5893, CVE-2013-5895, CVE-2013-5896, CVE-2013-5898, CVE-2013-5899, CVE-2013-5902, CVE-2013-5904, CVE-2013-5905, CVE-2013-5906, CVE-2013-5907, CVE-2013-5910, CVE-2014-0368, CVE-2014-0373, CVE-2014-0375, CVE-2014-0376, CVE-2014-0382, CVE-2014-0385, CVE-2014-0387, CVE-2014-0403, CVE-2014-0408, CVE-2014-0410, CVE-2014-0411, CVE-2014-0415, CVE-2014-0416, CVE-2014-0417, CVE-2014-0418, CVE-2014-0422, CVE-2014-0423, CVE-2014-0424, CVE-2014-0428, ESA-2014-002, FEDORA-2014-0885, FEDORA-2014-0945, FEDORA-2014-1048, FEDORA-2014-2071, FEDORA-2014-2088, HPSBUX02972, HPSBUX02973, JSA10659, MDVSA-2014:011, openSUSE-SU-2014:0174-1, openSUSE-SU-2014:0177-1, openSUSE-SU-2014:0180-1, RHSA-2014:0026-01, RHSA-2014:0027-01, RHSA-2014:0030-01, RHSA-2014:0097-01, RHSA-2014:0134-01, RHSA-2014:0135-01, RHSA-2014:0136-01, RHSA-2014:0982-01, SOL17381, SSRT101454, SSRT101455, SUSE-SU-2014:0246-1, SUSE-SU-2014:0266-1, SUSE-SU-2014:0266-2, SUSE-SU-2014:0266-3, SUSE-SU-2014:0451-1, USN-2124-1, USN-2124-2, VIGILANCE-VUL-14087, ZDI-14-013, ZDI-14-038.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64915, CVE-2014-0410]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64899, CVE-2014-0415]

Un attaquant peut employer une vulnérabilité de 2D TTF Font Parsing, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64894, CVE-2013-5907, ZDI-14-013, ZDI-14-038]

Un attaquant peut employer une vulnérabilité de CORBA, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64935, CVE-2014-0428]

Un attaquant peut employer une vulnérabilité de JNDI, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64921, CVE-2014-0422]

Un attaquant peut employer une vulnérabilité de Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64901, CVE-2014-0385]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64931, CVE-2013-5889]

Un attaquant peut employer une vulnérabilité de Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64910, CVE-2014-0408]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64863, CVE-2013-5893]

Un attaquant peut employer une vulnérabilité de 2D, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64932, CVE-2014-0417]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64882, CVE-2014-0387]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64919, CVE-2014-0424]

Un attaquant peut employer une vulnérabilité de Serviceability, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64922, CVE-2014-0373]

Un attaquant peut employer une vulnérabilité de Security, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64927, CVE-2013-5878]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64890, CVE-2013-5904]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; BID-64929, CVE-2013-5870]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-64920, CVE-2014-0403]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-64916, CVE-2014-0375]

Un attaquant peut employer une vulnérabilité de Beans, afin d'obtenir des informations, ou de mener un déni de service. [grav:2/4; BID-64914, CVE-2014-0423]

Un attaquant peut employer une vulnérabilité de Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-64934, CVE-2013-5905]

Un attaquant peut employer une vulnérabilité de Install, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-64903, CVE-2013-5906]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-64923, CVE-2013-5902]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-64917, CVE-2014-0418]

Un attaquant peut employer une vulnérabilité de Deployment, afin de mener un déni de service. [grav:2/4; BID-64875, CVE-2013-5887]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations. [grav:2/4; BID-64928, CVE-2013-5899]

Un attaquant peut employer une vulnérabilité de CORBA, afin de mener un déni de service. [grav:2/4; BID-64926, CVE-2013-5896]

Un attaquant peut employer une vulnérabilité de CORBA, afin d'obtenir des informations. [grav:2/4; BID-64924, CVE-2013-5884]

Un attaquant peut employer une vulnérabilité de JAAS, afin d'altérer des informations. [grav:2/4; BID-64937, CVE-2014-0416]

Un attaquant peut employer une vulnérabilité de JAXP, afin d'altérer des informations. [grav:2/4; BID-64907, CVE-2014-0376]

Un attaquant peut employer une vulnérabilité de Networking, afin d'obtenir des informations. [grav:2/4; BID-64930, CVE-2014-0368]

Un attaquant peut employer une vulnérabilité de Security, afin d'altérer des informations. [grav:2/4; BID-64933, CVE-2013-5910]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations. [grav:2/4; BID-64906, CVE-2013-5895]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-64925, CVE-2013-5888]

Un attaquant peut employer une vulnérabilité de JavaFX, afin de mener un déni de service. [grav:2/4; BID-64936, CVE-2014-0382]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-64912, CVE-2013-5898]

Un attaquant peut employer une vulnérabilité de JSSE, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-64918, CVE-2014-0411]
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2013-1741 CVE-2013-2566 CVE-2013-5605

NSS : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de NSS.
Produits concernés : Debian, Fedora, Junos Space, Juniper SBR, Firefox, NSS, SeaMonkey, Thunderbird, openSUSE, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Solaris, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, Slackware, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, transit de données, déni de service du service, déni de service du client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 4.
Date création : 18/11/2013.
Date révision : 19/11/2013.
Références : BID-58796, BID-63736, BID-63737, BID-63738, CERTA-2013-AVI-642, CERTFR-2014-AVI-318, CERTFR-2017-AVI-012, CERTFR-2019-AVI-325, cpuapr2017, cpujul2014, cpuoct2016, cpuoct2017, CVE-2013-1741, CVE-2013-2566, CVE-2013-5605, CVE-2013-5606, DSA-2800-1, DSA-2994-1, DSA-3071-1, FEDORA-2013-22456, FEDORA-2013-22467, FEDORA-2013-23301, FEDORA-2013-23479, JSA10770, JSA10939, MFSA 2013-103, openSUSE-SU-2013:1730-1, openSUSE-SU-2013:1732-1, RHSA-2013:1791-01, RHSA-2013:1829-01, RHSA-2013:1840-01, RHSA-2013:1841-01, RHSA-2014:0041-01, SSA:2013-339-01, SSA:2013-339-02, SSA:2013-339-03, SUSE-SU-2013:1807-1, VIGILANCE-VUL-13789.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans NSS.

Sur un ordinateur 64 bits, un attaquant peut provoquer l'initialisation d'une grande zone mémoire, afin de mener un déni de service. [grav:1/4; BID-63736, CVE-2013-1741]

Un attaquant peut provoquer un buffer overflow dans Null Cipher, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; BID-63738, CVE-2013-5605]

Lorsque verifyLog est utilisé, le code de retour de CERT_VerifyCert() n'est pas correct, ce qui peut conduire à l'acceptation d'un certificat invalide. [grav:2/4; BID-63737, CVE-2013-5606]

Lorsqu'un attaquant dispose de 2^30 messages chiffrés par RC4 avec des clés différentes, il peut retrouver le message en clair (VIGILANCE-VUL-12530). [grav:1/4; BID-58796, CVE-2013-2566]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2012-2750 CVE-2013-2251 CVE-2013-3839

MySQL : multiples vulnérabilités d'octobre 2013

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de MySQL sont corrigées dans le CPU d'octobre 2013.
Produits concernés : Debian, Fedora, Junos Space, Junos Space Network Management Platform, MySQL Community, MySQL Enterprise, Solaris, Percona Server, RHEL.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : compte utilisateur.
Nombre de vulnérabilités dans ce bulletin : 8.
Date création : 16/10/2013.
Références : BID-63105, BID-63107, BID-63109, BID-63113, BID-63116, BID-63119, BID-63125, bulletinoct2015, CERTA-2013-AVI-589, cpuoct2013, CVE-2012-2750, CVE-2013-2251, CVE-2013-3839, CVE-2013-5767, CVE-2013-5770, CVE-2013-5786, CVE-2013-5793, CVE-2013-5807, DSA-2780-1, DSA-2818-1, FEDORA-2013-19648, FEDORA-2013-19654, MDVSA-2013:250, RHSA-2014:0173-01, RHSA-2014:0186-01, RHSA-2014:0189-01, VIGILANCE-VUL-13606.

Description de la vulnérabilité

Un Critical Patch Update corrige plusieurs vulnérabilités concernant MySQL.

Un attaquant peut employer une vulnérabilité de Service Manager, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-2251]

Un attaquant peut employer une vulnérabilité de Replication, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-63105, CVE-2013-5807]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-63107, CVE-2013-5786]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-63125, CVE-2012-2750]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-63109, CVE-2013-3839]

Un attaquant peut employer une vulnérabilité de Optimizer, afin de mener un déni de service. [grav:2/4; BID-63113, CVE-2013-5767]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-63116, CVE-2013-5793]

Un attaquant peut employer une vulnérabilité de Locking, afin de mener un déni de service. [grav:1/4; BID-63119, CVE-2013-5770]
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2013-5095 CVE-2013-5096 CVE-2013-5097

Junos Space : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Junos Space.
Produits concernés : Junos Space, Junos Space Network Management Platform.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 19/08/2013.
Références : BID-61791, BID-61794, BID-61795, CERTA-2013-AVI-508, CVE-2013-5095, CVE-2013-5096, CVE-2013-5097, JSA10585, PR 863804, PR 879462, PR 884469, VIGILANCE-VUL-13285.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Junos Space.

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; BID-61791, CVE-2013-5095, PR 884469]

Un attaquant avec des privilèges de type lecture-seule peut modifier la configuration. [grav:2/4; BID-61794, CVE-2013-5096, PR 863804]

Un attaquant peut obtenir le haché des mots de passe, puis mener une attaque par brute force pour les retrouver. [grav:2/4; BID-61795, CVE-2013-5097, PR 879462]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2013-2249

Apache HTTP Server : vulnérabilité de mod_session_dbd

Synthèse de la vulnérabilité

Une vulnérabilité a été annoncée dans le module mod_session_dbd de Apache HTTP Server.
Produits concernés : Apache httpd, Fedora, Junos Space, Slackware.
Gravité : 2/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Date création : 22/07/2013.
Références : BID-61379, CERTA-2013-AVI-435, CERTFR-2015-AVI-431, CERTFR-2016-AVI-300, CVE-2013-2249, FEDORA-2013-13922, FEDORA-2013-13994, JSA10698, SSA:2013-218-02, VIGILANCE-VUL-13151.

Description de la vulnérabilité

Le module mod_session_dbd permet de stocker les sessions HTTP dans une base de donnée.

Cependant, ce module ne gère pas correctement le changement des données ("dirty flag").
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2013-1861 CVE-2013-3783 CVE-2013-3793

MySQL : multiples vulnérabilités de juillet 2013

Synthèse de la vulnérabilité

Plusieurs vulnérabilités de MySQL sont corrigées dans le CPU de juillet 2013.
Produits concernés : Debian, Junos Space, Junos Space Network Management Platform, MySQL Community, MySQL Enterprise, openSUSE, Solaris, Percona Server, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 18.
Date création : 17/07/2013.
Références : BID-58511, BID-61210, BID-61214, BID-61222, BID-61227, BID-61233, BID-61235, BID-61238, BID-61244, BID-61249, BID-61252, BID-61256, BID-61260, BID-61264, BID-61269, BID-61272, BID-61274, bulletinoct2015, CERTA-2013-AVI-419, CERTA-2013-AVI-543, cpujuly2013, CVE-2013-1861, CVE-2013-3783, CVE-2013-3793, CVE-2013-3794, CVE-2013-3795, CVE-2013-3796, CVE-2013-3798, CVE-2013-3801, CVE-2013-3802, CVE-2013-3804, CVE-2013-3805, CVE-2013-3806, CVE-2013-3807, CVE-2013-3808, CVE-2013-3809, CVE-2013-3810, CVE-2013-3811, CVE-2013-3812, DSA-2818-1, JSA10601, MDVSA-2013:197, openSUSE-SU-2013:1335-1, openSUSE-SU-2013:1410-1, SUSE-SU-2013:1390-1, SUSE-SU-2013:1529-1, VIGILANCE-VUL-13132.

Description de la vulnérabilité

Un Critical Patch Update corrige plusieurs vulnérabilités concernant MySQL.

Un attaquant authentifié peut employer une requête de géométrie, afin de stopper MySQL (VIGILANCE-VUL-12529). [grav:2/4; BID-58511, CVE-2013-1861]

Un attaquant peut employer une vulnérabilité de MemCached, afin d'altérer des informations, ou de mener un déni de service. [grav:2/4; BID-61274, CVE-2013-3798]

Un attaquant peut employer une vulnérabilité de Audit Log, afin d'altérer des informations. [grav:2/4; BID-61272, CVE-2013-3809]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-61264, CVE-2013-3793]

Un attaquant peut employer une vulnérabilité de Data Manipulation Language, afin de mener un déni de service. [grav:2/4; BID-61238, CVE-2013-3795]

Un attaquant peut employer une vulnérabilité de Full Text Search, afin de mener un déni de service. [grav:2/4; BID-61244, CVE-2013-3802]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-61235, CVE-2013-3806]

Un attaquant peut employer une vulnérabilité de Prepared Statements, afin de mener un déni de service. [grav:2/4; BID-61256, CVE-2013-3805]

Un attaquant peut employer une vulnérabilité de Server Optimizer, afin de mener un déni de service. [grav:2/4; BID-61260, CVE-2013-3804]

Un attaquant peut employer une vulnérabilité de Server Optimizer, afin de mener un déni de service. [grav:2/4; BID-61233, CVE-2013-3796]

Un attaquant peut employer une vulnérabilité de Server Options, afin de mener un déni de service. [grav:2/4; BID-61227, CVE-2013-3808]

Un attaquant peut employer une vulnérabilité de Server Options, afin de mener un déni de service. [grav:2/4; BID-61269, CVE-2013-3801]

Un attaquant peut employer une vulnérabilité de Server Parser, afin de mener un déni de service. [grav:2/4; BID-61210, CVE-2013-3783]

Un attaquant peut employer une vulnérabilité de Server Partition, afin de mener un déni de service. [grav:2/4; BID-61222, CVE-2013-3794]

Un attaquant peut employer une vulnérabilité de Server Privileges, afin d'obtenir ou d'altérer des informations. [grav:2/4; BID-61238, CVE-2013-3807]

Un attaquant peut employer une vulnérabilité de InnoDB, afin de mener un déni de service. [grav:2/4; BID-61252, CVE-2013-3811]

Un attaquant peut employer une vulnérabilité de Server Replication, afin de mener un déni de service. [grav:2/4; BID-61249, CVE-2013-3812]

Un attaquant peut employer une vulnérabilité de XA Transactions, afin de mener un déni de service. [grav:2/4; BID-61214, CVE-2013-3810]
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2013-1896

Apache HTTP Server : déni de service via mod_dav

Synthèse de la vulnérabilité

Un attaquant peut envoyer une requête MERGE pour mod_dav de Apache HTTP Server, afin de mener un déni de service.
Produits concernés : Apache httpd, Fedora, HP-UX, Junos Space, Junos Space Network Management Platform, NSMXpress, openSUSE, Solaris, RHEL, JBoss EAP par Red Hat, Slackware, SLES.
Gravité : 2/4.
Conséquences : déni de service du service.
Provenance : client intranet.
Date création : 15/07/2013.
Références : BID-61129, c03922406, CERTA-2013-AVI-435, CERTA-2013-AVI-543, CERTA-2013-AVI-590, CERTFR-2014-AVI-112, CERTFR-2014-AVI-244, CERTFR-2015-AVI-286, CVE-2013-1896, FEDORA-2013-13922, FEDORA-2013-13994, HPSBUX02927, JSA10685, MDVSA-2013:193, openSUSE-SU-2013:1337-1, openSUSE-SU-2013:1340-1, openSUSE-SU-2013:1341-1, openSUSE-SU-2014:1647-1, RHSA-2013:1133-01, RHSA-2013:1134-01, RHSA-2013:1156-01, RHSA-2013:1207-01, RHSA-2013:1208-01, RHSA-2013:1209-01, SSA:2013-218-02, SSRT101288, SUSE-SU-2014:1082-1, VIGILANCE-VUL-13117.

Description de la vulnérabilité

Le module mod_dav (DAV, Distributed Authoring and Versioning) s'installe sur Apache HTTP Server.

La commande MERGE de mod_dav_svn applique les différences entre deux sources Subversion. Cependant, si cette commande indique une URI non configurée pour DAV, une erreur de segmentation se produit dans mod_dav.

Un attaquant peut donc envoyer une requête MERGE pour mod_dav de Apache HTTP Server, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2013-1862

Apache httpd 2.2 : injection de caractères via de mod_rewrite

Synthèse de la vulnérabilité

Un attaquant peut utiliser des caractères spéciaux, qui ne sont pas filtrés par mod_rewrite de Apache httpd 2.2, afin de les injecter dans les journaux.
Produits concernés : Apache httpd, BIG-IP Hardware, TMOS, HP-UX, Junos Space, Junos Space Network Management Platform, NSMXpress, openSUSE, Solaris, RHEL, JBoss EAP par Red Hat, SLES.
Gravité : 2/4.
Conséquences : création/modification de données.
Provenance : client internet.
Date création : 14/05/2013.
Références : BID-59826, c03922406, CERTA-2013-AVI-332, CERTA-2013-AVI-543, CERTA-2013-AVI-590, CERTFR-2014-AVI-112, CERTFR-2014-AVI-244, CERTFR-2014-AVI-502, CERTFR-2015-AVI-286, CVE-2013-1862, HPSBUX02927, JSA10685, MDVSA-2013:174, openSUSE-SU-2013:1337-1, openSUSE-SU-2013:1340-1, openSUSE-SU-2013:1341-1, openSUSE-SU-2014:1647-1, RHSA-2013:0815-01, RHSA-2013:1133-01, RHSA-2013:1134-01, RHSA-2013:1207-01, RHSA-2013:1208-01, RHSA-2013:1209-01, SOL15877, SSRT101288, SUSE-SU-2014:1082-1, VIGILANCE-VUL-12790.

Description de la vulnérabilité

Le module mod_rewrite de Apache httpd permet d'éditer les requêtes. La directive RewriteLog d'Apache 2.2 indique le nom du fichier où journaliser les modifications effectuées.

Cependant, les caractères spéciaux contenus dans le nom du client, de l'utilisateur ou le texte libre ne sont pas filtrés.

Un attaquant peut donc utiliser des caractères spéciaux, qui ne sont pas filtrés par mod_rewrite de Apache httpd 2.2, afin de les injecter dans les journaux.

Si l'attaquant injecte des séquences d'échappement ANSI, elles seront alors interprétées lorsque l'administrateur consultera les journaux dans un terminal shell.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2013-3497

Junos Space : lecture du mot de passe via l'interface web

Synthèse de la vulnérabilité

Un attaquant, qui peut lire l'écran de l'administrateur, peut voir le mot de passe affiché dans l'interface web de Junos Space, afin de s'authentifier sur le produit.
Produits concernés : Junos Space, Junos Space Network Management Platform.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : console utilisateur.
Date création : 13/05/2013.
Références : BID-59760, CVE-2013-3497, KB27374, PSN-2013-05-939, VIGILANCE-VUL-12775.

Description de la vulnérabilité

L'interface web de Junos Space permet à l'administrateur de modifier et consulter la configuration.

Cependant, certains mots de passe sont affichés directement, sans être masqués par des astérisques.

Un attaquant, qui peut lire l'écran de l'administrateur, peut donc voir le mot de passe affiché dans l'interface web de Junos Space, afin de s'authentifier sur le produit.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Juniper Junos Space Security Design :