L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de NetApp SnapManager

alerte de vulnérabilité informatique CVE-2018-11784

Apache Tomcat : redirection via Directory Redirect

Synthèse de la vulnérabilité

Produits concernés : Tomcat, Debian, ePO, McAfee Web Gateway, Snap Creator Framework, SnapManager, openSUSE Leap, Solaris, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 1/4.
Conséquences : accès/droits utilisateur, lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 04/10/2018.
Références : bulletinoct2018, CVE-2018-11784, DLA-1544-1, DLA-1545-1, NTAP-20181014-0002, openSUSE-SU-2018:3453-1, openSUSE-SU-2018:4042-1, SB10257, SB10264, SUSE-SU-2018:3261-1, SUSE-SU-2018:3388-1, SUSE-SU-2018:3393-1, SUSE-SU-2018:3935-1, SUSE-SU-2018:3968-1, USN-3787-1, VIGILANCE-VUL-27396.

Description de la vulnérabilité

Un attaquant peut tromper l'utilisateur via Directory Redirect de Apache Tomcat, afin de le rediriger vers un site malveillant.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité CVE-2015-8960

TLS : obtention d'information via KCI Attacks

Synthèse de la vulnérabilité

Produits concernés : Snap Creator Framework, SnapManager, SSL (protocole).
Gravité : 1/4.
Conséquences : lecture de données.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 27/06/2018.
Références : CVE-2015-8960, NTAP-20180626-0002, VIGILANCE-VUL-26550.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via KCI Attacks de TLS, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2018-12536

Eclipse Jetty : obtention d'information via InvalidPathException Message

Synthèse de la vulnérabilité

Produits concernés : Jetty, SnapManager, Puppet.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 26/06/2018.
Références : CVE-2018-12536, NTAP-20181014-0001, VIGILANCE-VUL-26536.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via InvalidPathException Message de Eclipse Jetty, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2017-7658

Eclipse Jetty : obtention d'information via Double Content-Length

Synthèse de la vulnérabilité

Produits concernés : Debian, Jetty, Fedora, SnapManager, Puppet.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 26/06/2018.
Références : CVE-2017-7658, DSA-4278-1, FEDORA-2018-48b73ed393, FEDORA-2018-93a507fd0f, NTAP-20181014-0001, VIGILANCE-VUL-26535.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Double Content-Length de Eclipse Jetty, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2017-7657

Eclipse Jetty : obtention d'information via Transfer-Encoding Request Smuggling

Synthèse de la vulnérabilité

Produits concernés : Debian, Jetty, Fedora, SnapManager, Puppet.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 26/06/2018.
Références : CVE-2017-7657, DSA-4278-1, FEDORA-2018-48b73ed393, FEDORA-2018-93a507fd0f, NTAP-20181014-0001, VIGILANCE-VUL-26534.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Transfer-Encoding Request Smuggling de Eclipse Jetty, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité CVE-2017-7656

Eclipse Jetty : obtention d'information via HTTP/0.9 Request Smuggling

Synthèse de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via HTTP/0.9 Request Smuggling de Eclipse Jetty, afin d'obtenir des informations sensibles.
Produits concernés : Debian, Jetty, Fedora, SnapManager, Puppet.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 26/06/2018.
Références : CVE-2017-7656, DSA-4278-1, FEDORA-2018-48b73ed393, FEDORA-2018-93a507fd0f, NTAP-20181014-0001, VIGILANCE-VUL-26533.

Description de la vulnérabilité

Le produit Eclipse Jetty dispose d'un service web.

Cependant, un attaquant peut contourner les restrictions d'accès aux données.

Un attaquant peut donc utiliser une vulnérabilité via HTTP/0.9 Request Smuggling de Eclipse Jetty, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité CVE-2018-12538

Eclipse Jetty : élévation de privilèges via FileSessionDataStore

Synthèse de la vulnérabilité

Produits concernés : Jetty, SnapManager, Puppet.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 25/06/2018.
Références : 536018, CVE-2018-12538, NTAP-20181014-0001, VIGILANCE-VUL-26512.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via FileSessionDataStore de Eclipse Jetty, afin d'élever ses privilèges.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité informatique CVE-2017-10053 CVE-2017-10067 CVE-2017-10074

Oracle Java : vulnérabilités de juillet 2017

Synthèse de la vulnérabilité

Produits concernés : Debian, Fedora, AIX, Domino, Notes, Security Directory Server, QRadar SIEM, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, Junos Space, ePO, SnapManager, Java OpenJDK, openSUSE Leap, Java Oracle, JavaFX, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 19/07/2017.
Références : 2007002, 2008025, 2008360, 2008362, 2008757, 2009206, 2009232, 2009253, 2009415, 2009663, 2011594, 2012301, CERTFR-2017-AVI-223, cpujul2017, CVE-2017-10053, CVE-2017-10067, CVE-2017-10074, CVE-2017-10078, CVE-2017-10081, CVE-2017-10086, CVE-2017-10087, CVE-2017-10089, CVE-2017-10090, CVE-2017-10096, CVE-2017-10101, CVE-2017-10102, CVE-2017-10104, CVE-2017-10105, CVE-2017-10107, CVE-2017-10108, CVE-2017-10109, CVE-2017-10110, CVE-2017-10111, CVE-2017-10114, CVE-2017-10115, CVE-2017-10116, CVE-2017-10117, CVE-2017-10118, CVE-2017-10121, CVE-2017-10125, CVE-2017-10135, CVE-2017-10145, CVE-2017-10176, CVE-2017-10193, CVE-2017-10198, CVE-2017-10243, DLA-1073-1, DSA-3919-1, DSA-3954-1, DSA-4005-1, FEDORA-2017-605557de96, FEDORA-2017-721314e3b3, FEDORA-2017-735e2ae663, FEDORA-2017-be3df4fe14, FEDORA-2017-fe57cf60c3, ibm10718843, JSA10873, NTAP-20170720-0001, openSUSE-SU-2017:2211-1, openSUSE-SU-2018:0042-1, RHSA-2017:1789-01, RHSA-2017:1790-01, RHSA-2017:1791-01, RHSA-2017:1792-01, RHSA-2017:2424-01, RHSA-2017:2469-01, RHSA-2017:2481-01, RHSA-2017:2530-01, SB10208, SUSE-SU-2017:2175-1, SUSE-SU-2017:2263-1, SUSE-SU-2017:2280-1, SUSE-SU-2017:2281-1, SUSE-SU-2018:0005-1, USN-3366-1, USN-3366-2, USN-3396-1, VIGILANCE-VUL-23289.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2017-3509 CVE-2017-3511 CVE-2017-3512

Oracle Java : vulnérabilités de avril 2017

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Java.
Produits concernés : Brocade vTM, Debian, Avamar, Fedora, Android OS, AIX, Domino, Notes, IRAD, QRadar SIEM, Tivoli System Automation, WebSphere AS Liberty, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, ePO, SnapManager, Java OpenJDK, openSUSE Leap, Java Oracle, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 19/04/2017.
Références : 2003016, 2003566, 2004451, 2005052, 2005123, 2005160, 2005255, 2007242, 2007464, 2008210, 500160, BSA-2017-323, BSA-2017-325, BSA-2017-326, BSA-2017-327, BSA-2017-328, BSA-2017-330, BSA-2017-331, CERTFR-2017-AVI-119, cpuapr2017, CVE-2017-3509, CVE-2017-3511, CVE-2017-3512, CVE-2017-3514, CVE-2017-3526, CVE-2017-3533, CVE-2017-3539, CVE-2017-3544, DLA-954-1, DSA-3858-1, ESA-2017-058, FEDORA-2017-25358a23ad, FEDORA-2017-9b18f02810, FEDORA-2017-9fbcf033f8, FEDORA-2017-a6a053fc05, NTAP-20170420-0001, openSUSE-SU-2017:1429-1, openSUSE-SU-2017:1507-1, RHSA-2017:1108-01, RHSA-2017:1109-01, RHSA-2017:1117-01, RHSA-2017:1118-01, RHSA-2017:1119-01, RHSA-2017:1204-01, RHSA-2017:1220-01, RHSA-2017:1221-01, RHSA-2017:1222-01, SB10200, SUSE-SU-2017:1384-1, SUSE-SU-2017:1386-1, SUSE-SU-2017:1387-1, SUSE-SU-2017:1400-1, SUSE-SU-2017:1444-1, SUSE-SU-2017:1445-1, USN-3275-1, USN-3275-2, USN-3275-3, VIGILANCE-VUL-22488.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2016-2183 CVE-2016-5546 CVE-2016-5547

Oracle Java : vulnérabilités de janvier 2017

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Java.
Produits concernés : Debian, Fedora, AIX, Domino, Notes, IRAD, Security Directory Server, QRadar SIEM, SPSS Statistics, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, ePO, SnapManager, Java OpenJDK, openSUSE Leap, Java Oracle, Solaris, RHEL, RSA Authentication Manager, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service, déni de service du client.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 18/01/2017.
Références : 1998379, 1998858, 1999054, 1999999, 2000212, 2000304, 2000516, 2000544, 2000602, 2000988, 2000990, 2001608, 2002331, 2002335, 2002336, 2002479, 2002537, 2002966, 2002991, 2003145, 2004036, 2004938, 2007242, bulletinapr2017, CERTFR-2017-AVI-017, cpujan2017, CVE-2016-2183, CVE-2016-5546, CVE-2016-5547, CVE-2016-5548, CVE-2016-5549, CVE-2016-5552, CVE-2016-8328, CVE-2017-3231, CVE-2017-3241, CVE-2017-3252, CVE-2017-3253, CVE-2017-3259, CVE-2017-3260, CVE-2017-3261, CVE-2017-3262, CVE-2017-3272, CVE-2017-3289, DLA-802-1, DLA-821-1, DSA-3782-1, ERPSCAN-17-006, ESA-2017-051, FEDORA-2017-4cb58f0bda, FEDORA-2017-c1252ccd41, ibm10718843, java_jan2017_advisory, NTAP-20170119-0001, openSUSE-SU-2017:0374-1, openSUSE-SU-2017:0513-1, RHSA-2017:0175-01, RHSA-2017:0176-01, RHSA-2017:0177-01, RHSA-2017:0180-01, RHSA-2017:0263-01, RHSA-2017:0269-01, RHSA-2017:0336-01, RHSA-2017:0337-01, RHSA-2017:0338-01, RHSA-2017:0462-01, SB10186, SUSE-SU-2017:0346-1, SUSE-SU-2017:0460-1, SUSE-SU-2017:0490-1, SUSE-SU-2017:1444-1, USN-3179-1, USN-3194-1, USN-3198-1, VIGILANCE-VUL-21606, ZDI-17-056, ZDI-17-057.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.

Un attaquant peut employer une vulnérabilité via Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2017-3289, ZDI-17-057]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2017-3272, ZDI-17-056]

Un attaquant peut employer une vulnérabilité via RMI, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2017-3241]

Un attaquant peut employer une vulnérabilité via AWT, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2017-3260]

Un attaquant peut employer une vulnérabilité via 2D, afin de mener un déni de service. [grav:3/4; CVE-2017-3253]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'altérer des informations. [grav:3/4; CVE-2016-5546]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'obtenir des informations. [grav:2/4; CVE-2016-5549]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'obtenir des informations. [grav:2/4; CVE-2016-5548]

Un attaquant peut employer une vulnérabilité via JAAS, afin d'altérer des informations. [grav:2/4; CVE-2017-3252]

Un attaquant peut employer une vulnérabilité via Java Mission Control, afin d'obtenir des informations. [grav:2/4; CVE-2017-3262]

Un attaquant peut employer une vulnérabilité via Libraries, afin de mener un déni de service. [grav:2/4; CVE-2016-5547]

Un attaquant peut employer une vulnérabilité via Networking, afin d'altérer des informations. [grav:2/4; CVE-2016-5552]

Un attaquant peut employer une vulnérabilité via Networking, afin d'obtenir des informations. [grav:2/4; CVE-2017-3231]

Un attaquant peut employer une vulnérabilité via Networking, afin d'obtenir des informations. [grav:2/4; CVE-2017-3261]

Un attaquant peut employer une vulnérabilité via Deployment, afin d'obtenir des informations. [grav:1/4; CVE-2017-3259]

Un attaquant peut employer une vulnérabilité via Java Mission Control, afin d'altérer des informations. [grav:1/4; CVE-2016-8328]

Un attaquant peut employer une vulnérabilité via Libraries, afin d'obtenir des informations. [grav:1/4; CVE-2016-2183]
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.