L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de OpenOffice

bulletin de vulnérabilité informatique CVE-2017-12607 CVE-2017-12608 CVE-2017-9806

Apache OpenOffice : trois vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Apache OpenOffice.
Produits concernés : OpenOffice, Debian, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, déni de service du client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 20/10/2017.
Date révision : 27/10/2017.
Références : CERTFR-2017-AVI-380, CVE-2017-12607, CVE-2017-12608, CVE-2017-9806, DLA-1214-1, DSA-4022-1, TALOS-2017-0295, TALOS-2017-0300, TALOS-2017-0301, USN-3472-1, VIGILANCE-VUL-24188.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Apache OpenOffice.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2017-1000257

curl : lecture de mémoire hors plage prévue via IMAP FETCH Response

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via IMAP FETCH Response de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Produits concernés : OpenOffice, curl, Debian, Fedora, QRadar SIEM, Juniper EX-Series, Junos OS, SRX-Series, openSUSE Leap, Solaris, pfSense, RHEL, Slackware, Ubuntu, VxWorks.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service, déni de service du client.
Provenance : serveur internet.
Date création : 23/10/2017.
Références : 2011740, bulletinapr2018, CVE-2017-1000257, DLA-1143-1, DSA-4007-1, FEDORA-2017-ebf32659bf, JSA10874, K-511316, openSUSE-SU-2017:2880-1, RHSA-2017:3263-01, RHSA-2018:3558-01, SSA:2017-297-01, USN-3457-1, VIGILANCE-VUL-24199.

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via IMAP FETCH Response de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2017-1000254

curl : lecture de mémoire hors plage prévue via FTP PWD

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via FTP PWD de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Produits concernés : OpenOffice, Mac OS X, curl, Debian, Fedora, Juniper EX-Series, Junos OS, SRX-Series, openSUSE Leap, Solaris, pfSense, RHEL, Slackware, Ubuntu, VxWorks.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service, déni de service du client.
Provenance : serveur internet.
Date création : 04/10/2017.
Références : 2011879, bulletinapr2018, CVE-2017-1000254, DLA-1121-1, DSA-3992-1, FEDORA-2017-601b4c20a4, HT208331, HT208394, JSA10874, K-511316, openSUSE-SU-2017:2880-1, RHSA-2018:3558-01, SSA:2017-279-01, USN-3441-1, USN-3441-2, VIGILANCE-VUL-24018.

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via FTP PWD de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2017-1000099 CVE-2017-1000100 CVE-2017-1000101

curl : trois vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de curl.
Produits concernés : OpenOffice, Mac OS X, curl, Debian, Fedora, Android OS, Juniper EX-Series, Junos OS, SRX-Series, openSUSE Leap, Solaris, RHEL, Slackware, Ubuntu, WindRiver Linux, VxWorks.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, déni de service du service, déni de service du client.
Provenance : serveur internet.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 09/08/2017.
Références : 2011879, bulletinapr2018, CVE-2017-1000099, CVE-2017-1000100, CVE-2017-1000101, DLA-1062-1, DSA-3992-1, FEDORA-2017-f1ffd18079, FEDORA-2017-f2df9d7772, HT208221, JSA10874, K-511316, openSUSE-SU-2017:2205-1, RHSA-2018:3558-01, SSA:2017-221-01, USN-3441-1, USN-3441-2, VIGILANCE-VUL-23481.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans curl.

Un attaquant peut forcer la lecture à une adresse invalide via Globbing, afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2017-1000101]

Un attaquant peut provoquer un buffer overflow via TFTP, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2017-1000100]

Un attaquant peut forcer la lecture à une adresse invalide via FILE, afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2017-1000099]
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2017-9502

curl pour MS-Windows : buffer overflow via une URL de type file

Synthèse de la vulnérabilité

Un attaquant peut provoquer un débordement de tampon via une URL de type file dans curl, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : OpenOffice, curl, Juniper EX-Series, Junos OS, SRX-Series.
Gravité : 1/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : serveur internet.
Date création : 14/06/2017.
Références : CVE-2017-9502, JSA10874, VIGILANCE-VUL-22977.

Description de la vulnérabilité

Un attaquant peut provoquer un débordement de tampon via une URL de type file dans curl, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2017-7468

libcurl : redémarrage de session TLS malgré un changement de certificat

Synthèse de la vulnérabilité

Le client TLS de libcurl peut réutiliser une session malgré le changement de certificat client, ce qui peut conduire à l'authentification sur un serveur avec l'identité incorrecte.
Produits concernés : OpenOffice, Mac OS X, curl, pfSense, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données.
Provenance : compte utilisateur.
Date création : 19/04/2017.
Références : APPLE-SA-2017-07-19-2, CVE-2017-7468, HT207922, USN-3262-1, VIGILANCE-VUL-22500.

Description de la vulnérabilité

Le client TLS de libcurl peut réutiliser une session malgré le changement de certificat client, ce qui peut conduire à l'authentification sur un serveur avec une identité incorrecte.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2017-7407

curl : obtention d'information via --write-out

Synthèse de la vulnérabilité

Un attaquant local peut lire un fragment de la mémoire via --write-out de curl, afin d'obtenir des informations sensibles.
Produits concernés : OpenOffice, curl, Debian, Fedora, Juniper EX-Series, Junos OS, SRX-Series, openSUSE Leap, Solaris, pfSense, RHEL, Ubuntu.
Gravité : 1/4.
Conséquences : lecture de données.
Provenance : accès physique.
Date création : 04/04/2017.
Références : bulletinjul2018, cpuoct2018, CVE-2017-7407, DLA-883-1, FEDORA-2017-b38b98727e, JSA10874, openSUSE-SU-2017:1105-1, RHSA-2018:3558-01, USN-3441-1, USN-3441-2, VIGILANCE-VUL-22327.

Description de la vulnérabilité

Un attaquant local peut lire un fragment de la mémoire via --write-out de curl, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2017-3157

LibreOffice : obtention d'information via les aperçus d'objets liés

Synthèse de la vulnérabilité

Un attaquant peut faire ouvrir un document contenant des liens à des fichiers externes par LibreOffice Writer ou Cacl, afin d'obtenir des informations sensibles.
Produits concernés : OpenOffice, Debian, LibreOffice, RHEL, Ubuntu.
Gravité : 1/4.
Conséquences : lecture de données.
Provenance : document.
Date création : 23/02/2017.
Références : CVE-2017-3157, DLA-910-1, DSA-3792-1, DSA-3837-1, RHSA-2017:0914-01, RHSA-2017:0979-01, USN-3210-1, VIGILANCE-VUL-21945.

Description de la vulnérabilité

Les programmes Writer et Calc de LibreOffice peuvent inclure des vignettes des objets liés ou intégrés.

Un objet lié peut référencer un fichier externe arbitraire dont le contenu n'est pas à inclure dans le document. Cependant, le mécanisme de création de la vignette va intégrer une partie de ce fichier dans le document.

Un attaquant peut donc faire ouvrir un document contenant des liens à des fichiers externes par LibreOffice Writer ou Cacl, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2017-2629

curl : Man-in-the-Middle avec SSL_VERIFYSTATUS

Synthèse de la vulnérabilité

Un attaquant peut se positionner en Man-in-the-Middle sur curl avec CURLOPT_SSL_VERIFYSTATUS, afin de lire ou modifier des données de la session.
Produits concernés : OpenOffice, Mac OS X, curl, pfSense.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur internet.
Date création : 22/02/2017.
Références : APPLE-SA-2017-07-19-2, CVE-2017-2629, HT207922, VIGILANCE-VUL-21925.

Description de la vulnérabilité

Le produit curl utilise le protocole TLS afin de créer des sessions sécurisées.

Cependant, le certificat X.509 et l'identité du service ne sont pas correctement vérifiés lors de l'utilisation de CURLOPT_SSL_VERIFYSTATUS (OCSP Stapling, TLS Certificate Status Request).

Un attaquant peut donc se positionner en Man-in-the-Middle sur curl avec CURLOPT_SSL_VERIFYSTATUS, afin de lire ou modifier des données de la session.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2016-9586 CVE-2016-9952 CVE-2016-9953

cURL : trois vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de cURL.
Produits concernés : OpenOffice, Mac OS X, curl, Debian, Fedora, Juniper EX-Series, Junos OS, SRX-Series, openSUSE Leap, Solaris, RHEL, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits client, lecture de données.
Provenance : serveur internet.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 21/12/2016.
Références : APPLE-SA-2017-07-19-2, cpuoct2018, CVE-2016-9586, CVE-2016-9952, CVE-2016-9953, DLA-1568-1, DLA-767-1, FEDORA-2016-86d2b5aefb, FEDORA-2016-edbb33ab2e, HT207615, HT207922, JSA10874, openSUSE-SU-2017:1105-1, RHSA-2018:3558-01, USN-3441-1, USN-3441-2, VIGILANCE-VUL-21435.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans cURL.

Un attaquant peut provoquer un débordement de tampon via des nombres flottants, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-9586]

Sur plateformes WinCE, un attaquant peut fausser la comparaison de noms X.501 dans le processus de validation de certificat X.509, afin d'usurper l'identité d'un serveur. [grav:2/4; CVE-2016-9952]

Sur plateformes WinCE, un attaquant peut provoquer un débordement de tampon en lecture dans le processus de validation de certificat X.509, afin de lire la mémoire du serveur ou de mener un déni de service. [grav:2/4; CVE-2016-9953]
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur OpenOffice :