| L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier. |
|
 |
|
|
Vulnérabilités informatiques de Oracle WebLogic Server
Oracle Fusion Middleware : multiples vulnérabilités de avril 2016
Synthèse de la vulnérabilité
Un attaquant peut employer plusieurs vulnérabilités de Oracle Fusion Middleware.
Produits concernés : Oracle Fusion Middleware, Oracle GlassFish Server, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Oracle OIT, Tuxedo, WebLogic, Oracle Web Tier.
Gravité : 4/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : compte utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 20/04/2016.
Références : cpuapr2016, CVE-2014-3576, CVE-2015-3195, CVE-2015-3197, CVE-2015-3253, CVE-2015-7182, CVE-2015-7547, CVE-2016-0468, CVE-2016-0479, CVE-2016-0638, CVE-2016-0671, CVE-2016-0675, CVE-2016-0688, CVE-2016-0696, CVE-2016-0700, CVE-2016-3416, CVE-2016-3455, TALOS-2016-0086, VIGILANCE-VUL-19415.
Description de la vulnérabilité
Plusieurs vulnérabilités ont été annoncées dans Oracle Fusion Middleware.
Un attaquant peut employer une vulnérabilité de Oracle GlassFish Server, Oracle OpenSSO, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server ou Oracle Traffic Director, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service (VIGILANCE-VUL-18237). [grav:4/4; CVE-2015-7182]
Un attaquant peut employer une vulnérabilité de Oracle WebCenter Sites, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service (VIGILANCE-VUL-17973). [grav:4/4; CVE-2015-3253]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2016-0638]
Un attaquant peut employer une vulnérabilité de Oracle Outside In Technology, afin d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3455, TALOS-2016-0086]
Un attaquant peut employer une vulnérabilité de Oracle Exalogic Infrastructure, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service (VIGILANCE-VUL-18956). [grav:3/4; CVE-2015-7547]
Un attaquant peut employer une vulnérabilité de Oracle BI Publisher, afin de mener un déni de service (VIGILANCE-VUL-17610). [grav:3/4; CVE-2014-3576]
Un attaquant peut employer une vulnérabilité de Oracle Business Intelligence Enterprise Edition, afin d'obtenir ou d'altérer des informations. [grav:3/4; CVE-2016-0479]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir ou d'altérer des informations. [grav:3/4; CVE-2016-0675]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir ou d'altérer des informations. [grav:3/4; CVE-2016-0700]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir ou d'altérer des informations. [grav:3/4; CVE-2016-3416]
Un attaquant peut employer une vulnérabilité de Oracle Exalogic Infrastructure ou Oracle Tuxedo, afin d'obtenir des informations (VIGILANCE-VUL-18837). [grav:2/4; CVE-2015-3197]
Un attaquant peut employer une vulnérabilité de Oracle Business Intelligence Enterprise Edition, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2016-0468]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2016-0696]
Un attaquant peut employer une vulnérabilité de Oracle API Gateway ou Oracle Exalogic Infrastructure, afin de mener un déni de service (VIGILANCE-VUL-18436). [grav:2/4; CVE-2015-3195]
Un attaquant peut employer une vulnérabilité de Oracle HTTP Server, afin d'obtenir des informations. [grav:1/4; CVE-2016-0671]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'altérer des informations. [grav:1/4; CVE-2016-0688]
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache Struts : élévation de privilèges
Synthèse de la vulnérabilité
Produits concernés : Debian, Rational ClearCase, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Oracle Virtual Directory, WebLogic, Oracle Web Tier.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 31/03/2016.
Références : 2015348, cpuoct2017, CVE-2015-0899, DSA-3536-1, ibm10716909, ibm10719287, ibm10719297, ibm10719301, ibm10719303, ibm10719307, swg22017524, VIGILANCE-VUL-19274.
Description de la vulnérabilité
Un attaquant peut contourner les restrictions de Apache Struts, afin d'élever ses privilèges.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Mozilla NSS : deux vulnérabilités
Synthèse de la vulnérabilité
Un attaquant peut employer plusieurs vulnérabilités de Mozilla NSS.
Produits concernés : Blue Coat CAS, Debian, BIG-IP Hardware, TMOS, Firefox, NSS, openSUSE, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Oracle OIT, Tuxedo, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, Slackware, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 4/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 09/03/2016.
Références : cpujul2017, cpuoct2016, cpuoct2017, CVE-2016-1950, CVE-2016-1979, DLA-480-1, DSA-3688-1, K20145801, K91100352, MFSA-2016-35, MFSA-2016-36, openSUSE-SU-2016:0731-1, openSUSE-SU-2016:0733-1, RHSA-2016:0370-01, RHSA-2016:0371-01, RHSA-2016:0495-01, RHSA-2016:0591-01, RHSA-2016:0684-01, RHSA-2016:0685-01, SA119, SOL20145801, SOL91100352, SSA:2016-069-02, SUSE-SU-2016:0727-1, SUSE-SU-2016:0777-1, SUSE-SU-2016:0820-1, SUSE-SU-2016:0909-1, SUSE-SU-2017:1175-1, SUSE-SU-2017:1248-1, USN-2924-1, VIGILANCE-VUL-19134.
Description de la vulnérabilité
Plusieurs vulnérabilités ont été annoncées dans Mozilla NSS.
Un attaquant peut provoquer un buffer overflow dans ASN1 Certificate Parsing, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:4/4; CVE-2016-1950, MFSA-2016-35]
Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée dans PK11_ImportDERPrivateKeyInfoAndReturnKey(), afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2016-1979, MFSA-2016-36]
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache Tomcat : accès en lecture et écriture via setGlobalContext
Synthèse de la vulnérabilité
Un attaquant, autorisé à déposer une application web illicite sur le service, peut contourner les restrictions d'accès via setGlobalContext de Apache Tomcat, afin de lire ou modifier des données.
Produits concernés : Tomcat, Debian, Fedora, SiteScope, HP-UX, Snap Creator Framework, openSUSE Leap, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/02/2016.
Références : 1980693, c05150442, c05324755, cpuapr2017, cpuoct2017, CVE-2016-0763, DSA-3530-1, DSA-3552-1, DSA-3609-1, FEDORA-2016-e6651efbaf, HPSBGN03669, HPSBUX03606, NTAP-20180531-0001, openSUSE-SU-2016:0865-1, RHSA-2016:1087-01, RHSA-2016:1088-01, RHSA-2016:1089-01, RHSA-2016:2599-02, RHSA-2016:2807-01, RHSA-2016:2808-01, SUSE-SU-2016:0769-1, SUSE-SU-2016:0822-1, USN-3024-1, VIGILANCE-VUL-18999.
Description de la vulnérabilité
Le produit Apache Tomcat peut exécuter une application web de provenance incertaine avec un Security Manager.
Cependant, une application malveillante peut appeler ResourceLinkFactory.setGlobalContext() pour injecter un contexte dans une autre application, et accéder à ses données.
Un attaquant, autorisé à déposer une application web illicite sur le service, peut donc contourner les restrictions d'accès via setGlobalContext de Apache Tomcat, afin de lire ou modifier des données.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache Tomcat : exécution de code via PersistentManager
Synthèse de la vulnérabilité
Un attaquant, autorisé à déposer une application web illicite sur le service, peut utiliser le PersistentManager de Apache Tomcat, afin d'exécuter du code.
Produits concernés : Tomcat, Debian, BIG-IP Hardware, TMOS, HP-UX, QRadar SIEM, Snap Creator Framework, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/02/2016.
Références : 1980693, 1983989, c05054964, c05150442, cpuapr2017, cpujul2018, cpuoct2017, CVE-2016-0714, DSA-3530-1, DSA-3552-1, DSA-3609-1, HPSBUX03561, HPSBUX03606, K30971148, NTAP-20180531-0001, openSUSE-SU-2016:0865-1, RHSA-2016:1087-01, RHSA-2016:1088-01, RHSA-2016:1089-01, RHSA-2016:2045-01, RHSA-2016:2599-02, RHSA-2016:2807-01, RHSA-2016:2808-01, SOL30971148, SUSE-SU-2016:0769-1, SUSE-SU-2016:0822-1, SUSE-SU-2016:0839-1, USN-3024-1, VIGILANCE-VUL-18998.
Description de la vulnérabilité
Le produit Apache Tomcat peut exécuter une application web de provenance incertaine avec un Security Manager.
Cependant, une application malveillante peut utiliser PersistentManager pour placer un objet dans une session, et ainsi exécuter du code.
Un attaquant, autorisé à déposer une application web illicite sur le service, peut donc utiliser le PersistentManager de Apache Tomcat, afin d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache Tomcat : obtention d'information via StatusManagerServlet
Synthèse de la vulnérabilité
Un attaquant, autorisé à déposer une application web illicite sur le service, peut utiliser une vulnérabilité dans StatusManagerServlet de Apache Tomcat, afin d'obtenir des informations sensibles.
Produits concernés : Tomcat, Debian, BIG-IP Hardware, TMOS, HP-UX, QRadar SIEM, Snap Creator Framework, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/02/2016.
Références : 1980693, 1983989, c05054964, c05150442, cpuapr2017, cpujul2018, cpuoct2017, CVE-2016-0706, DSA-3530-1, DSA-3552-1, DSA-3609-1, HPSBUX03561, HPSBUX03606, K30971148, NTAP-20180531-0001, openSUSE-SU-2016:0865-1, RHSA-2016:1087-01, RHSA-2016:1088-01, RHSA-2016:1089-01, RHSA-2016:2045-01, RHSA-2016:2599-02, RHSA-2016:2807-01, RHSA-2016:2808-01, SOL30971148, SUSE-SU-2016:0769-1, SUSE-SU-2016:0822-1, SUSE-SU-2016:0839-1, USN-3024-1, VIGILANCE-VUL-18997.
Description de la vulnérabilité
Le produit Apache Tomcat peut exécuter une application web de provenance incertaine avec un Security Manager.
Cependant, une application malveillante peut utiliser StatusManagerServlet pour obtenir le contenu des requêtes HTTP en cours de traitement.
Un attaquant, autorisé à déposer une application web illicite sur le service, peut donc utiliser une vulnérabilité dans StatusManagerServlet de Apache Tomcat, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache Tomcat : Cross Site Request Forgery via Manager / Host Manager
Synthèse de la vulnérabilité
Un attaquant peut provoquer un Cross Site Request Forgery de Apache Tomcat, afin de forcer la victime à effectuer des opérations.
Produits concernés : Tomcat, Debian, HP-UX, Snap Creator Framework, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits utilisateur.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/02/2016.
Références : 1980693, c05150442, cpuapr2017, cpujul2018, cpuoct2017, CVE-2015-5351, DSA-3530-1, DSA-3552-1, DSA-3609-1, HPSBUX03606, NTAP-20180531-0001, openSUSE-SU-2016:0865-1, RHSA-2016:1087-01, RHSA-2016:1088-01, RHSA-2016:1089-01, RHSA-2016:2599-02, RHSA-2016:2807-01, RHSA-2016:2808-01, SUSE-SU-2016:0769-1, SUSE-SU-2016:0822-1, USN-3024-1, VIGILANCE-VUL-18996.
Description de la vulnérabilité
Le produit Apache Tomcat dispose d'un service web, normalement protégé contre les Cross Site Request Forgery.
Cependant, le jeton CSRF peut être obtenu grâce à une redirection des applications Manager et Host Manager.
Un attaquant peut donc provoquer un Cross Site Request Forgery de Apache Tomcat, afin de forcer la victime à effectuer des opérations.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Oracle Fusion Middleware : multiples vulnérabilités de janvier 2016
Synthèse de la vulnérabilité
Un attaquant peut employer plusieurs vulnérabilités de Oracle Fusion Middleware.
Produits concernés : Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Tuxedo, WebLogic.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 20/01/2016.
Références : cpujan2016, CVE-2013-2186, CVE-2014-0107, CVE-2015-1793, CVE-2016-0401, CVE-2016-0404, CVE-2016-0413, CVE-2016-0429, CVE-2016-0430, CVE-2016-0433, CVE-2016-0439, CVE-2016-0441, CVE-2016-0453, CVE-2016-0464, CVE-2016-0470, CVE-2016-0572, CVE-2016-0573, CVE-2016-0574, CVE-2016-0577, CVE-2016-0614, VIGILANCE-VUL-18758.
Description de la vulnérabilité
Plusieurs vulnérabilités ont été annoncées dans Oracle Fusion Middleware.
Un attaquant peut employer une vulnérabilité de Oracle WebCenter Sites, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-0107]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Portal, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2013-2186]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-0574]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-0107]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-0573]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-0572]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-0577]
Un attaquant peut employer une vulnérabilité de Oracle GlassFish Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-0441]
Un attaquant peut employer une vulnérabilité de Oracle Business Intelligence Enterprise Edition, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2015-1793]
Un attaquant peut employer une vulnérabilité de Oracle Endeca Server, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2015-1793]
Un attaquant peut employer une vulnérabilité de Oracle Tuxedo, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2015-1793]
Un attaquant peut employer une vulnérabilité de Oracle BI Publisher, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2016-0470]
Un attaquant peut employer une vulnérabilité de Web Cache, afin d'obtenir des informations. [grav:2/4; CVE-2016-0439]
Un attaquant peut employer une vulnérabilité de Oracle BI Publisher, afin d'altérer des informations. [grav:2/4; CVE-2016-0401]
Un attaquant peut employer une vulnérabilité de Oracle BI Publisher, afin d'altérer des informations. [grav:2/4; CVE-2016-0429]
Un attaquant peut employer une vulnérabilité de Oracle Identity Federation, afin d'altérer des informations. [grav:2/4; CVE-2016-0404]
Un attaquant peut employer une vulnérabilité de Oracle WebLogic Server, afin d'altérer des informations. [grav:2/4; CVE-2016-0464]
Un attaquant peut employer une vulnérabilité de Web Cache, afin d'obtenir des informations. [grav:2/4; CVE-2016-0430]
Un attaquant peut employer une vulnérabilité de Web Cache, afin d'obtenir des informations. [grav:2/4; CVE-2016-0433]
Un attaquant peut employer une vulnérabilité de Oracle BI Publisher, afin d'obtenir des informations. [grav:2/4; CVE-2016-0614]
Un attaquant peut employer une vulnérabilité de Oracle Identity Federation, afin d'altérer des informations. [grav:2/4; CVE-2016-0413]
Un attaquant peut employer une vulnérabilité de Oracle GlassFish Server, afin d'altérer des informations. [grav:1/4; CVE-2016-0453]
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache ActiveMQ : exécution de code via Deserialization
Synthèse de la vulnérabilité
Produits concernés : Debian, Fedora, Tivoli System Automation, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Oracle OIT, Tuxedo, Oracle Virtual Directory, WebLogic, Oracle Web Tier, Puppet, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Grid Manager, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio.
Gravité : 2/4.
Conséquences : accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 28/12/2015.
Références : 1977546, cpujul2017, cpuoct2017, CVE-2015-5254, DSA-3524-1, FEDORA-2015-7ca4368b0c, FEDORA-2015-eefc5a6762, VIGILANCE-VUL-18584.
Description de la vulnérabilité
Un attaquant peut utiliser une vulnérabilité dans Deserialization de Apache ActiveMQ, afin d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Apache Commons Collections : exécution de code via InvokerTransformer
Synthèse de la vulnérabilité
Un attaquant peut envoyer un objet Gadget Chain sérialisé malveillant vers une application Java utilisant Apache Commons Collections, afin d'exécuter du code shell.
Produits concernés : CAS Server, Blue Coat CAS, SGOS par Blue Coat, Brocade Network Advisor, Brocade vTM, ASA, AsyncOS, Cisco ESA, Cisco Prime Access Registrar, Prime Infrastructure, Cisco Prime LMS, Cisco PRSM, Secure ACS, Cisco CUCM, Cisco Unified CCX, Cisco MeetingPlace, Cisco Unity ~ précis, Debian, BIG-IP Hardware, TMOS, HPE BSM, HPE NNMi, HP Operations, DB2 UDB, Domino, Notes, IRAD, QRadar SIEM, SPSS Modeler, Tivoli Storage Manager, Tivoli Workload Scheduler, WebSphere AS Traditional, JBoss AS OpenSource, Junos Space, ePO, Mule ESB, Snap Creator Framework, SnapManager, NetIQ Sentinel, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Oracle OIT, Solaris, Tuxedo, Oracle Virtual Directory, WebLogic, Oracle Web Tier, RHEL, JBoss EAP par Red Hat, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Grid Manager, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Unix (plateforme) ~ non exhaustif, vCenter Server.
Gravité : 3/4.
Conséquences : accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 12/11/2015.
Références : 1610582, 1970575, 1971370, 1971531, 1971533, 1971751, 1972261, 1972373, 1972565, 1972794, 1972839, 2011281, 7014463, 7022958, 9010052, BSA-2016-004, bulletinjul2016, c04953244, c05050545, c05206507, c05325823, c05327447, CERTFR-2015-AVI-484, CERTFR-2015-AVI-555, cisco-sa-20151209-java-deserialization, COLLECTIONS-580, cpuapr2017, cpuapr2018, cpujan2017, cpujan2018, cpujul2017, cpuoct2016, cpuoct2017, cpuoct2018, CVE-2015-4852, CVE-2015-6420, CVE-2015-6934, CVE-2015-7420-ERROR, CVE-2015-7450, CVE-2015-7501, CVE-2015-8545, CVE-2015-8765, CVE-2016-1985, CVE-2016-1997, CVE-2016-4373, CVE-2016-4398, DSA-3403-1, HPSBGN03542, HPSBGN03560, HPSBGN03630, HPSBGN03656, HPSBGN03670, JSA10838, NTAP-20151123-0001, RHSA-2015:2500-01, RHSA-2015:2501-01, RHSA-2015:2502-01, RHSA-2015:2516-01, RHSA-2015:2517-01, RHSA-2015:2521-01, RHSA-2015:2522-01, RHSA-2015:2523-01, RHSA-2015:2524-01, RHSA-2015:2534-01, RHSA-2015:2535-01, RHSA-2015:2536-01, RHSA-2015:2537-01, RHSA-2015:2538-01, RHSA-2015:2539-01, RHSA-2015:2540-01, RHSA-2015:2541-01, RHSA-2015:2542-01, RHSA-2015:2547-01, RHSA-2015:2548-01, RHSA-2015:2556-01, RHSA-2015:2557-01, RHSA-2015:2559-01, RHSA-2015:2560-01, RHSA-2015:2578-01, RHSA-2015:2579-01, RHSA-2015:2670-01, RHSA-2015:2671-01, RHSA-2016:0040-01, RHSA-2016:0118-01, SA110, SB10144, SOL30518307, VIGILANCE-VUL-18294, VMSA-2015-0009, VMSA-2015-0009.1, VMSA-2015-0009.2, VMSA-2015-0009.3, VMSA-2015-0009.4, VU#576313.
Description de la vulnérabilité
La bibliothèque Apache Commons Collections est utilisée par de nombreuses applications Java.
Un objet Java Gadgets ("gadget chains") peut contenir des Transformers, avec une chaîne "exec" contenant une commande shell qui est exécutée avec la méthode Java.lang.Runtime.exec(). Lorsque des données brutes sont désérialisées, la méthode readObject() est donc appelée pour reconstruire l'objet Gadgets, et elle utilise InvokerTransformer, qui exécute la commande shell indiquée.
On peut noter que d'autres classes (CloneTransformer, ForClosure, InstantiateFactory, InstantiateTransformer, PrototypeCloneFactory, PrototypeSerializationFactory, WhileClosure) exécutent aussi une commande shell à partir de données brutes à désérialiser.
Cependant, plusieurs applications exposent publiquement (avant authentification) la fonctionnalité de désérialisation Java.
Un attaquant peut donc envoyer un objet Gadget Chain sérialisé malveillant vers une application Java utilisant Apache Commons Collections, afin d'exécuter du code shell.
Bulletin Vigil@nce complet.... (Essai gratuit) |
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.
Consulter les informations sur Oracle WebLogic Server :
|