L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de SDS

avis de menace informatique CVE-2018-1000300

curl : buffer overflow via FTP Shutdown Response

Synthèse de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via FTP Shutdown Response de curl, afin de mener un déni de service, et éventuellement d'exécuter du code.
Gravité : 3/4.
Date création : 16/05/2018.
Références : cpujan2019, cpuoct2018, CVE-2018-1000300, FEDORA-2018-9dc7338487, FEDORA-2018-fa01002d7e, openSUSE-SU-2018:1624-1, SSA:2018-136-01, STORM-2019-002, USN-3648-1, VIGILANCE-VUL-26142.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via FTP Shutdown Response de curl, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

faille cybersécurité CVE-2018-1000122

curl : lecture de mémoire hors plage prévue via RTSP RTP

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via RTSP RTP de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Gravité : 2/4.
Date création : 14/03/2018.
Références : bulletinapr2018, cpujan2019, cpujul2019, cpuoct2018, CVE-2018-1000122, DLA-1309-1, DSA-2019-114, DSA-4136-1, FEDORA-2018-66c96e0024, FEDORA-2018-8877b4ccac, JSA10874, openSUSE-SU-2018:0794-1, RHSA-2018:3157-01, RHSA-2018:3558-01, SSA:2018-074-01, STORM-2019-002, SUSE-SU-2018:1323-1, USN-3598-1, USN-3598-2, VIGILANCE-VUL-25547.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via RTSP RTP de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de menace CVE-2018-1000121

curl : déréférencement de pointeur NULL via LDAP URL

Synthèse de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via LDAP URL de curl, afin de mener un déni de service.
Gravité : 2/4.
Date création : 14/03/2018.
Références : bulletinapr2018, cpujan2019, cpujul2019, cpuoct2018, CVE-2018-1000121, DLA-1309-1, DSA-2019-114, DSA-4136-1, FEDORA-2018-66c96e0024, FEDORA-2018-8877b4ccac, JSA10874, openSUSE-SU-2018:0794-1, RHSA-2018:3157-01, RHSA-2018:3558-01, SSA:2018-074-01, STORM-2019-002, SUSE-SU-2018:1323-1, USN-3598-1, USN-3598-2, VIGILANCE-VUL-25546.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via LDAP URL de curl, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

menace sécurité CVE-2018-1000120

curl : corruption de mémoire via FTP URL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire via FTP URL de curl, afin de mener un déni de service, et éventuellement d'exécuter du code.
Gravité : 3/4.
Date création : 14/03/2018.
Références : bulletinapr2018, cpujan2019, cpujul2019, cpuoct2018, CVE-2018-1000120, DLA-1309-1, DSA-2019-114, DSA-4136-1, FEDORA-2018-66c96e0024, FEDORA-2018-8877b4ccac, JSA10874, openSUSE-SU-2018:0794-1, RHSA-2018:3157-01, RHSA-2018:3558-01, SSA:2018-074-01, STORM-2019-002, SUSE-SU-2018:1323-1, USN-3598-1, USN-3598-2, VIGILANCE-VUL-25545.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire via FTP URL de curl, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

faille cyber-sécurité CVE-2017-8816 CVE-2017-8817 CVE-2017-8818

curl : trois vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de curl.
Gravité : 2/4.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 29/11/2017.
Références : bulletinapr2018, bulletinoct2018, CVE-2017-8816, CVE-2017-8817, CVE-2017-8818, DLA-1195-1, DSA-4051-1, FEDORA-2017-0c062324cd, FEDORA-2017-45bdf4dace, HT208465, HT208692, JSA10874, openSUSE-SU-2018:0161-1, RHSA-2018:3558-01, STORM-2019-002, USN-3498-1, USN-3498-2, VIGILANCE-VUL-24564.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de curl.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de menace CVE-2017-3736

OpenSSL : Man-in-the-Middle via bn_sqrx8x_internal

Synthèse de la vulnérabilité

Un attaquant peut se positionner en Man-in-the-Middle et utiliser une erreur de retenue de bn_sqrx8x_internal() sur OpenSSL, afin de lire ou modifier des données de la session.
Gravité : 1/4.
Date création : 02/11/2017.
Références : 2012827, 2013025, 2014202, 2014651, 2014669, 2015080, bulletinapr2018, bulletinjan2018, CERTFR-2017-AVI-391, cpuapr2018, cpuapr2019, cpujan2018, cpujan2019, cpujul2018, cpujul2019, cpuoct2018, CVE-2017-3736, DSA-4017-1, DSA-4018-1, FEDORA-2017-4cf72e2c11, FEDORA-2017-512a6c5aae, FEDORA-2017-55a3247cfd, FEDORA-2017-7f30914972, FEDORA-2017-dbec196dd8, FreeBSD-SA-17:11.openssl, ibm10715641, ibm10719113, ibm10732391, ibm10733905, ibm10738249, ibm10738401, JSA10851, K14363514, openSUSE-SU-2017:3192-1, openSUSE-SU-2018:0029-1, openSUSE-SU-2018:0315-1, RHSA-2018:0998-01, RHSA-2018:2568-01, RHSA-2018:2575-01, SA157, SB10211, SB10220, SSA:2017-306-02, STORM-2017-006, SUSE-SU-2018:2839-1, SUSE-SU-2018:3082-1, TNS-2017-15, USN-3475-1, VIGILANCE-VUL-24316.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut se positionner en Man-in-the-Middle et utiliser une erreur de retenue de bn_sqrx8x_internal() sur OpenSSL, afin de lire ou modifier des données de la session.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de menace informatique CVE-2017-1000254

curl : lecture de mémoire hors plage prévue via FTP PWD

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via FTP PWD de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Gravité : 2/4.
Date création : 04/10/2017.
Références : 2011879, bulletinapr2018, CVE-2017-1000254, DLA-1121-1, DSA-2019-114, DSA-3992-1, FEDORA-2017-601b4c20a4, HT208331, HT208394, JSA10874, K-511316, openSUSE-SU-2017:2880-1, RHSA-2018:3558-01, SSA:2017-279-01, STORM-2019-002, USN-3441-1, USN-3441-2, VIGILANCE-VUL-24018.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via FTP PWD de curl, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de menace CVE-2017-1000099 CVE-2017-1000100 CVE-2017-1000101

curl : trois vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de curl.
Gravité : 3/4.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 09/08/2017.
Références : 2011879, bulletinapr2018, CVE-2017-1000099, CVE-2017-1000100, CVE-2017-1000101, DLA-1062-1, DSA-2019-114, DSA-3992-1, FEDORA-2017-f1ffd18079, FEDORA-2017-f2df9d7772, HT208221, JSA10874, K-511316, openSUSE-SU-2017:2205-1, RHSA-2018:3558-01, SSA:2017-221-01, STORM-2019-002, USN-3441-1, USN-3441-2, VIGILANCE-VUL-23481.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans curl.

Un attaquant peut forcer la lecture à une adresse invalide via Globbing, afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2017-1000101]

Un attaquant peut provoquer un buffer overflow via TFTP, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:3/4; CVE-2017-1000100]

Un attaquant peut forcer la lecture à une adresse invalide via FILE, afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2017-1000099]
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité cyber-sécurité CVE-2017-7468

libcurl : redémarrage de session TLS malgré un changement de certificat

Synthèse de la vulnérabilité

Le client TLS de libcurl peut réutiliser une session malgré le changement de certificat client, ce qui peut conduire à l'authentification sur un serveur avec l'identité incorrecte.
Gravité : 2/4.
Date création : 19/04/2017.
Références : APPLE-SA-2017-07-19-2, CVE-2017-7468, HT207922, STORM-2019-002, USN-3262-1, VIGILANCE-VUL-22500.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le client TLS de libcurl peut réutiliser une session malgré le changement de certificat client, ce qui peut conduire à l'authentification sur un serveur avec une identité incorrecte.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de menace informatique CVE-2017-2629

curl : Man-in-the-Middle avec SSL_VERIFYSTATUS

Synthèse de la vulnérabilité

Un attaquant peut se positionner en Man-in-the-Middle sur curl avec CURLOPT_SSL_VERIFYSTATUS, afin de lire ou modifier des données de la session.
Gravité : 2/4.
Date création : 22/02/2017.
Références : APPLE-SA-2017-07-19-2, CVE-2017-2629, HT207922, STORM-2019-002, VIGILANCE-VUL-21925.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit curl utilise le protocole TLS afin de créer des sessions sécurisées.

Cependant, le certificat X.509 et l'identité du service ne sont pas correctement vérifiés lors de l'utilisation de CURLOPT_SSL_VERIFYSTATUS (OCSP Stapling, TLS Certificate Status Request).

Un attaquant peut donc se positionner en Man-in-the-Middle sur curl avec CURLOPT_SSL_VERIFYSTATUS, afin de lire ou modifier des données de la session.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur SDS :