L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Oracle Communications

vulnérabilité CVE-2018-17197

Apache Tika : boucle infinie via SQLite3Parser

Synthèse de la vulnérabilité

Un attaquant peut provoquer une boucle infinie via SQLite3Parser de Apache Tika, afin de mener un déni de service.
Produits concernés : Oracle Communications, WebLogic.
Gravité : 2/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : document.
Date création : 17/07/2019.
Références : cpujul2019, CVE-2018-17197, VIGILANCE-VUL-29790.

Description de la vulnérabilité

Un attaquant peut provoquer une boucle infinie via SQLite3Parser de Apache Tika, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2019-12086

jackson-databind : lecture de fichier

Synthèse de la vulnérabilité

Un attaquant peut lire un fichier d'un client utilisant jackson-databind, afin d'obtenir des informations sensibles.
Produits concernés : Debian, Fedora, Oracle Communications, WebLogic.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : serveur intranet.
Date création : 21/05/2019.
Références : 5048, cpujul2019, CVE-2019-12086, DLA-1798-1, DSA-4452-1, FEDORA-2019-ae6a703b8f, FEDORA-2019-fb23eccc03, VIGILANCE-VUL-29375.

Description de la vulnérabilité

Un attaquant peut lire un fichier d'un client utilisant jackson-databind, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2018-16864 CVE-2018-16865

systemd : corruption de mémoire via alloca

Synthèse de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire via alloca() de systemd, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : Debian, McAfee Web Gateway, openSUSE Leap, Oracle Communications, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits administrateur, déni de service du service.
Provenance : shell utilisateur.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 10/01/2019.
Date révision : 10/05/2019.
Références : cpuapr2019, CVE-2018-16864, CVE-2018-16865, DLA-1639-1, DSA-4367-1, DSA-4367-2, openSUSE-SU-2019:0097-1, openSUSE-SU-2019:0098-1, RHSA-2019:0049-01, RHSA-2019:0204-01, RHSA-2019:2402-01, SB10276, SUSE-SU-2019:0053-1, SUSE-SU-2019:0054-1, SUSE-SU-2019:0054-2, SUSE-SU-2019:0135-1, SUSE-SU-2019:0137-1, USN-3855-1, VIGILANCE-VUL-28232.

Description de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire via alloca() de systemd, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2019-11358

jQuery Core : élévation de privilèges via Object.prototype Pollution

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions via Object.prototype Pollution de jQuery Core, afin d'élever ses privilèges.
Produits concernés : Debian, Drupal Core, eZ Platform, Fedora, jQuery Core, SnapCenter Backup Management, openSUSE Leap, Oracle Communications, WebLogic, RabbitMQ, Red Hat SSO, SLES, Synology DSM, Telerik.Web.UI.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données.
Provenance : document.
Date création : 11/04/2019.
Références : cpujul2019, CVE-2019-11358, DLA-1797-1, DRUPAL-SA-CORE-2019-005, DRUPAL-SA-CORE-2019-006, DSA-4460-1, EZSA-2019-005, FEDORA-2019-2a0ce0c58c, FEDORA-2019-a06dffab1c, FEDORA-2019-f563e66380, NTAP-20190919-0001, openSUSE-SU-2019:1839-1, openSUSE-SU-2019:1872-1, RHSA-2019:1456-01, Synology-SA-19:19, VIGILANCE-VUL-29030.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via Object.prototype Pollution de jQuery Core, afin d'élever ses privilèges.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2018-11307

jackson-databind : obtention d'information via Default Typing

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Default Typing de jackson-databind, afin d'obtenir des informations sensibles.
Produits concernés : Debian, Oracle Communications, WebLogic, RHEL, JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Date création : 04/03/2019.
Références : cpujan2019, cpujul2019, CVE-2018-11307, DLA-1703-1, DSA-4452-1, RHSA-2019:0782-01, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-28642.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Default Typing de jackson-databind, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2018-14720

jackson-databind : injection d'entité XML externe via JDK Classes

Synthèse de la vulnérabilité

Un attaquant peut transmettre des données XML malveillantes via JDK Classes à jackson-databind, afin de lire un fichier, de scanner des sites, ou de mener un déni de service.
Produits concernés : Debian, Fedora, Oracle Communications, Oracle Fusion Middleware, Tuxedo, WebLogic, RHEL, JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service.
Provenance : document.
Date création : 19/02/2019.
Références : 5048, cpuapr2019, cpujan2019, CVE-2018-14720, DLA-1703-1, DSA-4452-1, FEDORA-2019-df57551f6d, RHSA-2019:0782-01, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-28548.

Description de la vulnérabilité

Un attaquant peut transmettre des données XML malveillantes via JDK Classes à jackson-databind, afin de lire un fichier, de scanner des sites, ou de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2018-14721

jackson-databind : obtention d'information via axis2-jaxws SSRF

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via axis2-jaxws SSRF de jackson-databind, afin d'obtenir des informations sensibles.
Produits concernés : Debian, Fedora, Oracle Communications, Oracle Fusion Middleware, Tuxedo, WebLogic, RHEL, JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Date création : 19/02/2019.
Références : 5048, cpuapr2019, cpujan2019, CVE-2018-14721, DLA-1703-1, DSA-4452-1, FEDORA-2019-df57551f6d, RHSA-2019:0782-01, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-28547.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via axis2-jaxws SSRF de jackson-databind, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique CVE-2019-3823

libcurl : lecture de mémoire hors plage prévue via SMTP End-of-Response

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via SMTP End-of-Response de libcurl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Produits concernés : curl, Debian, Fedora, MariaDB ~ précis, MySQL Community, MySQL Enterprise, openSUSE Leap, Oracle Communications, Oracle Fusion Middleware, Solaris, Tuxedo, WebLogic, Percona Server, Slackware, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service, déni de service du client.
Provenance : serveur internet.
Date création : 06/02/2019.
Références : bulletinjan2019, cpuapr2019, cpujul2019, CVE-2019-3823, DLA-1672-1, DSA-4386-1, FEDORA-2019-43489941ff, openSUSE-SU-2019:0173-1, openSUSE-SU-2019:0174-1, SSA:2019-037-01, SUSE-SU-2019:0248-1, SUSE-SU-2019:0249-1, SUSE-SU-2019:0249-2, SUSE-SU-2019:0339-1, USN-3882-1, VIGILANCE-VUL-28445.

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via SMTP End-of-Response de libcurl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité CVE-2018-16890

libcurl : lecture de mémoire hors plage prévue via NTLM Type-2

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via NTLM Type-2 de libcurl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Produits concernés : SDS, SES, SNS, curl, Debian, Fedora, MariaDB ~ précis, MySQL Community, MySQL Enterprise, openSUSE Leap, Oracle Communications, Oracle Fusion Middleware, Solaris, Tuxedo, WebLogic, Percona Server, Slackware, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service, déni de service du client.
Provenance : serveur internet.
Date création : 06/02/2019.
Références : bulletinjan2019, cpuapr2019, cpujul2019, CVE-2018-16890, DLA-1672-1, DSA-4386-1, FEDORA-2019-43489941ff, openSUSE-SU-2019:0173-1, openSUSE-SU-2019:0174-1, SSA:2019-037-01, STORM-2019-002, SUSE-SU-2019:0248-1, SUSE-SU-2019:0249-1, SUSE-SU-2019:0249-2, SUSE-SU-2019:0339-1, USN-3882-1, VIGILANCE-VUL-28443.

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via NTLM Type-2 de libcurl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2018-9206

jQuery File Upload : upload de fichier

Synthèse de la vulnérabilité

Un attaquant peut uploader un fichier malveillant sur jQuery File Upload, afin par exemple de déposer un Cheval de Troie.
Produits concernés : Joomla Extensions ~ non exhaustif, Oracle Communications.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur.
Provenance : client internet.
Date création : 06/12/2018.
Références : cpujan2019, CVE-2018-9206, VIGILANCE-VUL-27971.

Description de la vulnérabilité

Un attaquant peut uploader un fichier malveillant sur jQuery File Upload, afin par exemple de déposer un Cheval de Troie.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Oracle Communications :