L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de SAS Base SAS Software

bulletin cyber-sécurité CVE-2018-11039

Spring Framework : obtention d'information via Cross Site Tracing

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Cross Site Tracing de Spring Framework, afin d'obtenir des informations sensibles.
Gravité : 2/4.
Date création : 15/06/2018.
Références : cpuapr2019, cpujan2019, cpujul2019, cpuoct2018, CVE-2018-11039, VIGILANCE-VUL-26439.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Cross Site Tracing de Spring Framework, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2018-1257

Spring Framework : déni de service via Spring-messaging

Synthèse de la vulnérabilité

Un attaquant peut provoquer une erreur fatale via Spring-messaging de Spring Framework, afin de mener un déni de service.
Gravité : 2/4.
Date création : 09/05/2018.
Références : cpuapr2019, cpujan2019, cpujul2019, cpuoct2018, CVE-2018-1257, VIGILANCE-VUL-26088.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut provoquer une erreur fatale via Spring-messaging de Spring Framework, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

menace cybersécurité CVE-2018-1275

Spring Framework : obtention d'information via Multipart Content

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Multipart Content de Spring Framework, afin d'obtenir des informations sensibles.
Gravité : 2/4.
Date création : 10/04/2018.
Références : cpujan2019, cpujul2018, cpujul2019, cpuoct2018, CVE-2018-1275, VIGILANCE-VUL-25828.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Multipart Content de Spring Framework, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2018-1272

Spring Framework : obtention d'information via Multipart Content

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Multipart Content de Spring Framework, afin d'obtenir des informations sensibles.
Gravité : 2/4.
Date création : 06/04/2018.
Références : cpujan2019, cpujul2018, cpujul2019, cpuoct2018, CVE-2018-1272, RHSA-2018:2669-01, VIGILANCE-VUL-25785.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Multipart Content de Spring Framework, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de menace CVE-2018-1271

Spring Framework : traversée de répertoire via Spring MVC

Synthèse de la vulnérabilité

Un attaquant peut traverser les répertoires via Spring MVC de Spring Framework, afin de lire un fichier situé hors de la racine du service.
Gravité : 2/4.
Date création : 06/04/2018.
Références : cpujan2019, cpujul2018, cpujul2019, cpuoct2018, CVE-2018-1271, RHSA-2018:2669-01, VIGILANCE-VUL-25784.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut traverser les répertoires via Spring MVC de Spring Framework, afin de lire un fichier situé hors de la racine du service.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité cyber-sécurité CVE-2018-1270

Spring Framework : exécution de code via spring-messaging

Synthèse de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via spring-messaging de Spring Framework, afin d'exécuter du code.
Gravité : 3/4.
Date création : 06/04/2018.
Références : cpujan2019, cpujul2018, cpujul2019, cpuoct2018, CVE-2018-1270, VIGILANCE-VUL-25783.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via spring-messaging de Spring Framework, afin d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

faille informatique CVE-2016-6814

Apache Groovy : exécution de code

Synthèse de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité de Apache Groovy, afin d'exécuter du code.
Gravité : 2/4.
Date création : 23/01/2017.
Références : cpuapr2018, cpujan2018, cpujan2019, cpujul2019, cpuoct2017, CVE-2016-6814, DLA-794-1, FEDORA-2017-1ce2a05ff1, FEDORA-2017-33c8085c5d, FEDORA-2017-661dddc462, FEDORA-2017-cc0e0daf0f, RHSA-2017:0272-01, RHSA-2017:0868-01, RHSA-2017:2486-01, RHSA-2017:2596-01, VIGILANCE-VUL-21640.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité de Apache Groovy, afin d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

menace cyber-sécurité CVE-2016-9878

Spring Framework : traversée de répertoire via ResourceServlet

Synthèse de la vulnérabilité

Un attaquant peut traverser les répertoires via ResourceServlet de Spring Framework, afin de lire un fichier situé hors de la racine du service.
Gravité : 2/4.
Date création : 22/12/2016.
Références : 1996375, 2015813, CST-7122, CST-7123, CST-7124, CST-7125, CST-7126, CST-7127, CST-7128, CST-7129, CST-7130, CST-7131, CVE-2016-9878, DLA-1853-1, FEDORA-2016-f341d71730, RHSA-2017:3115-01, VIGILANCE-VUL-21453.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit Spring Framework dispose d'un service web.

Cependant, les données provenant de l'utilisateur sont directement insérées dans un chemin d'accès. Les séquences comme "/.." permettent alors de remonter dans l'arborescence.

Un attaquant peut donc traverser les répertoires via ResourceServlet de Spring Framework, afin de lire un fichier situé hors de la racine du service.
Bulletin Vigil@nce complet... (Essai gratuit)

menace CVE-2016-7052

OpenSSL 1.0.2i : déréférencement de pointeur NULL via CRL

Synthèse de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via une CRL sur une application liée à OpenSSL 1.0.2i, afin de mener un déni de service.
Gravité : 2/4.
Date création : 26/09/2016.
Références : 1996096, 2000095, 2000209, 2003480, 2003620, 2003673, 2008828, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, cpuoct2017, CVE-2016-7052, FEDORA-2016-97454404fe, FEDORA-2016-a555159613, FreeBSD-SA-16:27.openssl, HPESBHF03856, JSA10759, openSUSE-SU-2016:2496-1, openSUSE-SU-2018:0458-1, SA132, SB10171, SP-CAAAPUE, SPL-129207, SSA:2016-270-01, SUSE-SU-2016:2470-1, SUSE-SU-2016:2470-2, TNS-2016-16, VIGILANCE-VUL-20701.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit OpenSSL version 1.0.2i a corrigé un bug dans la gestion des CRL.

Cependant, ce correctif ne vérifie pas si un pointeur est NULL, avant de l'utiliser.

Un attaquant peut donc forcer le déréférencement d'un pointeur NULL via une CRL sur une application liée à OpenSSL 1.0.2i, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de menace informatique CVE-2016-6309

OpenSSL 1.1.0a : utilisation de mémoire libérée via TLS

Synthèse de la vulnérabilité

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via TLS sur une application liée à OpenSSL 1.1.0a, afin de mener un déni de service, et éventuellement d'exécuter du code.
Gravité : 3/4.
Date création : 26/09/2016.
Références : 1996096, 2000095, 2000209, 2003480, 2003620, 2003673, 2008828, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, CVE-2016-6309, HPESBHF03856, JSA10759, SA132, TNS-2016-16, VIGILANCE-VUL-20700.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit OpenSSL version 1.1.0a a corrigé la vulnérabilité CVE-2016-6307.

Cependant, la réception d'un message TLS de 16ko libère une zone mémoire avant de la réutiliser.

Un attaquant peut donc provoquer l'utilisation d'une zone mémoire libérée via TLS sur une application liée à OpenSSL 1.1.0a, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur SAS Base SAS Software :