L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Micro Focus Sentinel

bulletin de vulnérabilité CVE-2018-7675

NetIQ Sentinel : obtention d'information via Web Interface

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Web Interface de NetIQ Sentinel, afin d'obtenir des informations sensibles.
Produits concernés : NetIQ Sentinel.
Gravité : 1/4.
Conséquences : lecture de données.
Provenance : compte utilisateur.
Date création : 08/03/2018.
Références : 7022706, CVE-2018-7675, VIGILANCE-VUL-25493.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Web Interface de NetIQ Sentinel, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2017-5184 CVE-2017-5185

NetIQ Sentinel : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de NetIQ Sentinel.
Produits concernés : NetIQ Sentinel.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données, déni de service du service.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 31/03/2017.
Références : CVE-2017-5184, CVE-2017-5185, VIGILANCE-VUL-22297.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans NetIQ Sentinel.

Un attaquant peut contourner les mesures de sécurité via Account Enumeration, afin d'obtenir des informations sensibles. [grav:2/4; CVE-2017-5184]

Un attaquant peut provoquer une erreur fatale, afin de mener un déni de service. [grav:2/4; CVE-2017-5185]
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2016-1000031

Apache Commons FileUpload : accès en lecture et écriture

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès de Apache Commons FileUpload, afin de lire ou modifier des fichiers.
Produits concernés : Struts, Prime Infrastructure, Secure ACS, Cisco CUCM, Cisco Unified CCX, Unisphere EMC, WebSphere AS Liberty, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, NetIQ Sentinel, Oracle Communications, Oracle Fusion Middleware, WebLogic, Unix (plateforme) ~ non exhaustif.
Gravité : 3/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Date création : 18/10/2016.
Références : 2009844, 2011428, 2011689, 528262, 7018113, 7043863, 7048591, CERTFR-2018-AVI-531, cisco-sa-20181107-struts-commons-fileupload, cpujan2019, CVE-2016-1000031, DSA-2018-210, TRA-2016-12, VIGILANCE-VUL-20892, ZDI-16-570.

Description de la vulnérabilité

Plusieurs produits utilisent Apache Commons FileUpload.

Cependant, les données désérialisées par la classe DiskFileItem ne sont pas vérifiées.

Un attaquant peut donc contourner les restrictions d'accès de Apache Commons FileUpload, afin de lire ou modifier des fichiers.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2016-1605

NetIQ Sentinel : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de NetIQ Sentinel.
Produits concernés : NetIQ Sentinel.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 08/07/2016.
Références : CVE-2016-1605, VIGILANCE-VUL-20048, ZDI-16-406.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans NetIQ Sentinel.

Un attaquant authentifié peut traverser les répertoires via ReportViewServlet quand le type de fichier est spécifié a "PREVIEW", afin d'obtenir des informations sensibles. [grav:2/4; CVE-2016-1605]

Un attaquant non authentification peut contourner les mesures de LogonFormController, afin d'élever ses privilèges. [grav:2/4]
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité CVE-2015-4852 CVE-2015-6420 CVE-2015-6934

Apache Commons Collections : exécution de code via InvokerTransformer

Synthèse de la vulnérabilité

Un attaquant peut envoyer un objet Gadget Chain sérialisé malveillant vers une application Java utilisant Apache Commons Collections, afin d'exécuter du code shell.
Produits concernés : CAS Server, Blue Coat CAS, SGOS par Blue Coat, Brocade Network Advisor, Brocade vTM, ASA, AsyncOS, Cisco ESA, Cisco Prime Access Registrar, Prime Infrastructure, Cisco Prime LMS, Cisco PRSM, Secure ACS, Cisco CUCM, Cisco Unified CCX, Cisco MeetingPlace, Cisco Unity ~ précis, Debian, BIG-IP Hardware, TMOS, HPE BSM, HPE NNMi, HP Operations, DB2 UDB, Domino, Notes, IRAD, QRadar SIEM, SPSS Modeler, Tivoli Storage Manager, Tivoli Workload Scheduler, WebSphere AS Traditional, JBoss AS OpenSource, Junos Space, ePO, Mule ESB, Snap Creator Framework, SnapManager, NetIQ Sentinel, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Oracle OIT, Solaris, Tuxedo, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, JBoss EAP par Red Hat, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Grid Manager, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Unix (plateforme) ~ non exhaustif, vCenter Server.
Gravité : 3/4.
Conséquences : accès/droits utilisateur.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 12.
Date création : 12/11/2015.
Références : 1610582, 1970575, 1971370, 1971531, 1971533, 1971751, 1972261, 1972373, 1972565, 1972794, 1972839, 2011281, 7014463, 7022958, 9010052, BSA-2016-004, bulletinjul2016, c04953244, c05050545, c05206507, c05325823, c05327447, CERTFR-2015-AVI-484, CERTFR-2015-AVI-555, cisco-sa-20151209-java-deserialization, COLLECTIONS-580, cpuapr2017, cpuapr2018, cpujan2017, cpujan2018, cpujul2017, cpuoct2016, cpuoct2017, cpuoct2018, CVE-2015-4852, CVE-2015-6420, CVE-2015-6934, CVE-2015-7420-ERROR, CVE-2015-7450, CVE-2015-7501, CVE-2015-8545, CVE-2015-8765, CVE-2016-1985, CVE-2016-1997, CVE-2016-4373, CVE-2016-4398, DSA-3403-1, HPSBGN03542, HPSBGN03560, HPSBGN03630, HPSBGN03656, HPSBGN03670, JSA10838, NTAP-20151123-0001, RHSA-2015:2500-01, RHSA-2015:2501-01, RHSA-2015:2502-01, RHSA-2015:2516-01, RHSA-2015:2517-01, RHSA-2015:2521-01, RHSA-2015:2522-01, RHSA-2015:2523-01, RHSA-2015:2524-01, RHSA-2015:2534-01, RHSA-2015:2535-01, RHSA-2015:2536-01, RHSA-2015:2537-01, RHSA-2015:2538-01, RHSA-2015:2539-01, RHSA-2015:2540-01, RHSA-2015:2541-01, RHSA-2015:2542-01, RHSA-2015:2547-01, RHSA-2015:2548-01, RHSA-2015:2556-01, RHSA-2015:2557-01, RHSA-2015:2559-01, RHSA-2015:2560-01, RHSA-2015:2578-01, RHSA-2015:2579-01, RHSA-2015:2670-01, RHSA-2015:2671-01, RHSA-2016:0040-01, RHSA-2016:0118-01, SA110, SB10144, SOL30518307, VIGILANCE-VUL-18294, VMSA-2015-0009, VMSA-2015-0009.1, VMSA-2015-0009.2, VMSA-2015-0009.3, VMSA-2015-0009.4, VU#576313.

Description de la vulnérabilité

La bibliothèque Apache Commons Collections est utilisée par de nombreuses applications Java.

Un objet Java Gadgets ("gadget chains") peut contenir des Transformers, avec une chaîne "exec" contenant une commande shell qui est exécutée avec la méthode Java.lang.Runtime.exec(). Lorsque des données brutes sont désérialisées, la méthode readObject() est donc appelée pour reconstruire l'objet Gadgets, et elle utilise InvokerTransformer, qui exécute la commande shell indiquée.

On peut noter que d'autres classes (CloneTransformer, ForClosure, InstantiateFactory, InstantiateTransformer, PrototypeCloneFactory, PrototypeSerializationFactory, WhileClosure) exécutent aussi une commande shell à partir de données brutes à désérialiser.

Cependant, plusieurs applications exposent publiquement (avant authentification) la fonctionnalité de désérialisation Java.

Un attaquant peut donc envoyer un objet Gadget Chain sérialisé malveillant vers une application Java utilisant Apache Commons Collections, afin d'exécuter du code shell.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2014-3576

Apache ActiveMQ : déni de service via Shutdown

Synthèse de la vulnérabilité

Un attaquant peut provoquer un arrêt avec Shutdown de Apache ActiveMQ, afin de mener un déni de service.
Produits concernés : Debian, QRadar SIEM, NetIQ Sentinel.
Gravité : 2/4.
Conséquences : déni de service du service.
Provenance : client intranet.
Date création : 10/08/2015.
Références : 2015823, CVE-2014-3576, DSA-3330-1, VIGILANCE-VUL-17610.

Description de la vulnérabilité

Un attaquant peut provoquer un arrêt avec Shutdown de Apache ActiveMQ, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2015-0851

OpenSAML C++, Shibboleth Service Provider : déni de service via XML

Synthèse de la vulnérabilité

Un attaquant peut envoyer des données XML malveillantes vers OpenSAML C++ ou Shibboleth Service Provider, afin de mener un déni de service.
Produits concernés : Debian, NetIQ Sentinel, OpenSAML-C, Shibboleth SP, Unix (plateforme) ~ non exhaustif.
Gravité : 2/4.
Conséquences : déni de service du service.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 21/07/2015.
Références : CVE-2015-0851, CVE-2015-2684-ERROR, DSA-3321-1, DSA-3321-2, VIGILANCE-VUL-17457.

Description de la vulnérabilité

La bibliothèque OpenSAML C++ analyse des données au format XML à l'aide de XMLTooling-C.

Cependant, des données XML bien formées, mais avec un schéma incorrect, provoquent une erreur fatale dans OpenSAML C++.

Un attaquant peut donc envoyer des données XML malveillantes vers OpenSAML C++ ou Shibboleth Service Provider, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique 16855

NetIQ Sentinel : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de NetIQ Sentinel, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : NetIQ Sentinel.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Date création : 11/05/2015.
Références : 5202070, VIGILANCE-VUL-16855.

Description de la vulnérabilité

Le produit NetIQ Sentinel dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de NetIQ Sentinel, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2015-2808

TLS : déchiffrement de RC4 via Bar Mitzvah

Synthèse de la vulnérabilité

Un attaquant peut utiliser l'attaque Bar Mitzvah sur TLS, afin d'obtenir des informations sensibles chiffrées par RC4.
Produits concernés : DCFM Enterprise, Brocade Network Advisor, Brocade vTM, Avamar, Black Diamond, ExtremeXOS, Summit, BIG-IP Hardware, TMOS, HPE BSM, HP Data Protector, HPE NNMi, HP Operations, SiteScope, HP Switch, HP-UX, AIX, DB2 UDB, Domino, Notes, IRAD, Security Directory Server, Tivoli Storage Manager, Tivoli Workload Scheduler, WebSphere AS Traditional, WebSphere MQ, SnapManager, NetIQ Sentinel, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Oracle Virtual Directory, WebLogic, Oracle Web Tier, SSL (protocole), RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Date création : 27/03/2015.
Références : 1450666, 1610582, 1647054, 1882708, 1883551, 1883553, 1902260, 1903541, 1960659, 1963275, 1967498, 523628, 7014463, 7022958, 7045736, 9010041, 9010044, Bar Mitzvah, BSA-2015-007, c04708650, c04767175, c04770140, c04772305, c04773119, c04773241, c04777195, c04777255, c04832246, c04926789, c05085988, c05336888, cpujan2018, cpuoct2017, CVE-2015-2808, DSA-2018-124, HPSBGN03350, HPSBGN03393, HPSBGN03399, HPSBGN03407, HPSBGN03414, HPSBGN03415, HPSBGN03580, HPSBHF03673, HPSBMU03345, HPSBMU03401, HPSBUX03435, HPSBUX03512, NTAP-20150715-0001, NTAP-20151028-0001, RHSA-2015:1020-01, RHSA-2015:1021-01, RHSA-2015:1091-01, SOL16864, SSRT102254, SSRT102977, SUSE-SU-2015:1073-1, SUSE-SU-2015:1085-1, SUSE-SU-2015:1086-1, SUSE-SU-2015:1086-2, SUSE-SU-2015:1086-3, SUSE-SU-2015:1086-4, SUSE-SU-2015:1138-1, SUSE-SU-2015:1161-1, VIGILANCE-VUL-16486, VN-2015-004.

Description de la vulnérabilité

Lors de l'initialisation d'une session TLS, le client et le serveur négocient des algorithmes cryptographiques. L'algorithme RC4 peut être choisi pour chiffrer.

Pour certaines clés faibles (une sur 2^24), la faiblesse "Invariance Weakness" permet de prédire les deux bits les plus faibles (LSB - Least Significant Bit) des 100 premiers octets chiffrés avec RC4. Le premier message TLS chiffré étant "Finished" (36 octets), un attaquant peut alors prédire les LSB de 64 octets.

Un attaquant peut donc utiliser l'attaque Bar Mitzvah sur TLS, afin d'obtenir des informations sensibles chiffrées par RC4.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2015-0235

glibc : buffer overflow de gethostbyname, GHOST

Synthèse de la vulnérabilité

Un attaquant peut par exemple envoyer un email utilisant une adresse IPv4 trop longue, pour forcer le serveur de messagerie à résoudre cette adresse, et provoquer un buffer overflow dans gethostbyname() de la glibc, afin de mener un déni de service, et éventuellement d'exécuter du code. De nombreux programmes utilisant gethostbyname() sont vulnérables selon une procédure d'attaque similaire.
Produits concernés : Arkoon FAST360, GAiA, CheckPoint IP Appliance, Provider-1, SecurePlatform, CheckPoint Security Gateway, CheckPoint VSX-1, Cisco ASR, Cisco Catalyst, IOS XE Cisco, IOS XR Cisco, Nexus par Cisco, NX-OS, Prime Infrastructure, Cisco CUCM, XenServer, Clearswift Email Gateway, Debian, Unisphere EMC, VNX Operating Environment, VNX Series, Exim, BIG-IP Hardware, TMOS, HPE BSM, HP Operations, Performance Center, Junos Space, MBS, McAfee Email and Web Security, McAfee Email Gateway, McAfee MOVE AntiVirus, McAfee NSP, McAfee NTBA, McAfee NGFW, VirusScan, McAfee Web Gateway, NetIQ Sentinel, openSUSE, Oracle Communications, Palo Alto Firewall PA***, PAN-OS, PHP, HDX, RealPresence Collaboration Server, RealPresence Distributed Media Application, RealPresence Resource Manager, Polycom VBP, RHEL, SIMATIC, Slackware, SUSE Linux Enterprise Desktop, SLES, Synology DSM, Ubuntu, Unix (plateforme) ~ non exhaustif, WordPress Core.
Gravité : 4/4.
Conséquences : accès/droits utilisateur, déni de service du client.
Provenance : serveur internet.
Date création : 27/01/2015.
Date révision : 27/01/2015.
Références : 198850, 199399, c04577814, c04589512, CERTFR-2015-AVI-043, cisco-sa-20150128-ghost, cpujul2015, cpujul2017, cpuoct2016, cpuoct2017, cpuoct2018, CTX200437, CVE-2015-0235, DSA-3142-1, ESA-2015-030, ESA-2015-041, GHOST, HPSBGN03270, HPSBGN03285, JSA10671, K16057, KM01391662, MDVSA-2015:039, openSUSE-SU-2015:0162-1, openSUSE-SU-2015:0184-1, PAN-SA-2015-0002, RHSA-2015:0090-01, RHSA-2015:0092-01, RHSA-2015:0099-01, RHSA-2015:0101-01, RHSA-2015:0126-01, SB10100, sk104443, SOL16057, SSA:2015-028-01, SSA-994726, SUSE-SU-2015:0158-1, USN-2485-1, VIGILANCE-VUL-16060, VU#967332.

Description de la vulnérabilité

La bibliothèque glibc fournit deux fonctions pour obtenir l'adresse IP d'un serveur à partir de son nom DNS :
  struct hostent *gethostbyname(const char *name);
  struct hostent *gethostbyname2(const char *name, int af);

Par exemple :
  he = gethostbyname("www.example.com");

Ces fonctions acceptent aussi de directement travailler sur une adresse IP :
  he = gethostbyname("192.168.1.1");

Cependant, une adresse IPv4 malformée et trop longue comme 192.168.111111.1 (plus de 1024 octets de long) produit un débordement dans la fonction __nss_hostname_digits_dots().

Un attaquant peut donc par exemple envoyer un email utilisant une adresse IPv4 trop longue, pour forcer le serveur de messagerie à résoudre cette adresse, et provoquer un buffer overflow dans gethostbyname() de la glibc, afin de mener un déni de service, et éventuellement d'exécuter du code.

Plusieurs programmes utilisant gethostbyname() sont vulnérables (exim, php, pppd, procmail) selon une procédure d'attaque similaire. Les programmes suivants ne semblent pas être vulnérables : apache, cups, dovecot, gnupg, isc-dhcp, lighttpd, mariadb/mysql, nfs-utils, nginx, nodejs, openldap, openssh, postfix, proftpd, pure-ftpd, rsyslog, samba, sendmail, squid, sysklogd, syslog-ng, tcp_wrappers, vsftpd, xinetd.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Micro Focus Sentinel :