L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Sun GlassFish Enterprise Server

faille informatique CVE-2016-6814

Apache Groovy : exécution de code

Synthèse de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité de Apache Groovy, afin d'exécuter du code.
Gravité : 2/4.
Date création : 23/01/2017.
Références : cpuapr2018, cpujan2018, cpujan2019, cpujul2019, cpuoct2017, CVE-2016-6814, DLA-794-1, FEDORA-2017-1ce2a05ff1, FEDORA-2017-33c8085c5d, FEDORA-2017-661dddc462, FEDORA-2017-cc0e0daf0f, RHSA-2017:0272-01, RHSA-2017:0868-01, RHSA-2017:2486-01, RHSA-2017:2596-01, VIGILANCE-VUL-21640.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité de Apache Groovy, afin d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2016-0635

Oracle Communications Network Intelligence : exécution de code

Synthèse de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité de Oracle Communications Network Intelligence, afin d'exécuter du code.
Gravité : 3/4.
Date création : 18/01/2017.
Références : cpuapr2017, cpujan2017, cpujul2017, cpuoct2018, CVE-2016-0635, VIGILANCE-VUL-21603.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité de Oracle Communications Network Intelligence, afin d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin cybersécurité CVE-2015-7501 CVE-2016-5528 CVE-2016-6303

Oracle Fusion Middleware : vulnérabilités de janvier 2017

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Fusion Middleware.
Gravité : 4/4.
Nombre de vulnérabilités dans ce bulletin : 9.
Date création : 18/01/2017.
Références : cpujan2017, CVE-2015-7501, CVE-2016-5528, CVE-2016-6303, CVE-2017-3239, CVE-2017-3247, CVE-2017-3248, CVE-2017-3249, CVE-2017-3250, CVE-2017-3255, VIGILANCE-VUL-21601, ZDI-17-055.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Fusion Middleware.

Un attaquant peut employer une vulnérabilité via Oracle Tuxedo, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2016-6303]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2017-3248, ZDI-17-055]

Un attaquant peut employer une vulnérabilité via Oracle GlassFish Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2016-5528]

Un attaquant peut employer une vulnérabilité via JRF Components, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2015-7501]

Un attaquant peut employer une vulnérabilité via Oracle GlassFish Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2017-3250]

Un attaquant peut employer une vulnérabilité via Oracle GlassFish Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2017-3249]

Un attaquant peut employer une vulnérabilité via Oracle JDeveloper, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2017-3255]

Un attaquant peut employer une vulnérabilité via Oracle GlassFish Server, afin d'altérer des informations. [grav:2/4; CVE-2017-3247]

Un attaquant peut employer une vulnérabilité via Oracle GlassFish Server, afin d'obtenir des informations. [grav:1/4; CVE-2017-3239]
Bulletin Vigil@nce complet... (Essai gratuit)

faille CVE-2015-9251

jQuery : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de jQuery, afin d'exécuter du code JavaScript dans le contexte du site web.
Gravité : 2/4.
Date création : 29/12/2016.
Références : bulletinjul2018, cpuapr2019, cpujan2019, cpujul2019, cpuoct2018, cpuoct2019, CVE-2015-9251, FEDORA-2016-06e8a3f776, FEDORA-2016-3368a38282, FEDORA-2016-8516b7d6fb, FEDORA-2016-b6cb3e83fa, VIGILANCE-VUL-21468.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit jQuery dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de jQuery, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2016-3473 CVE-2016-3505 CVE-2016-3551

Oracle Fusion Middleware : vulnérabilités de octobre 2016

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Fusion Middleware.
Gravité : 4/4.
Nombre de vulnérabilités dans ce bulletin : 17.
Date création : 19/10/2016.
Références : cpuoct2016, CVE-2016-3473, CVE-2016-3505, CVE-2016-3551, CVE-2016-5488, CVE-2016-5495, CVE-2016-5500, CVE-2016-5506, CVE-2016-5511, CVE-2016-5519, CVE-2016-5531, CVE-2016-5535, CVE-2016-5536, CVE-2016-5537, CVE-2016-5601, CVE-2016-5602, CVE-2016-5618, CVE-2016-8281, VIGILANCE-VUL-20908, ZDI-16-572.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Fusion Middleware.

Un attaquant peut employer une vulnérabilité via JAXWS Web Services Stack, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2016-3551]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2016-5535, ZDI-16-572]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:4/4; CVE-2016-5531]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-5519]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-3505]

Un attaquant peut employer une vulnérabilité via BI Publisher (formerly XML Publisher), afin d'obtenir des informations. [grav:3/4; CVE-2016-3473]

Un attaquant peut employer une vulnérabilité via Oracle Platform Security for Java, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-8281]

Un attaquant peut employer une vulnérabilité via Oracle Platform Security for Java, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2016-5536]

Un attaquant peut employer une vulnérabilité via Oracle Platform Security for Java, afin d'obtenir des informations. [grav:3/4; CVE-2016-5495]

Un attaquant peut employer une vulnérabilité via Oracle Discoverer, afin d'obtenir des informations. [grav:3/4; CVE-2016-5500]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2016-5601]

Un attaquant peut employer une vulnérabilité via NetBeans, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:2/4; CVE-2016-5537]

Un attaquant peut employer une vulnérabilité via Oracle Data Integrator, afin d'obtenir des informations. [grav:2/4; CVE-2016-5602]

Un attaquant peut employer une vulnérabilité via Oracle WebLogic Server, afin de mener un déni de service. [grav:2/4; CVE-2016-5488]

Un attaquant peut employer une vulnérabilité via Oracle WebCenter Sites, afin d'altérer des informations. [grav:2/4; CVE-2016-5511]

Un attaquant peut employer une vulnérabilité via Oracle Data Integrator, afin d'obtenir des informations. [grav:1/4; CVE-2016-5618]

Un attaquant peut employer une vulnérabilité via Oracle Identity Manager, afin d'obtenir ou d'altérer des informations. [grav:1/4; CVE-2016-5506]
Bulletin Vigil@nce complet... (Essai gratuit)

menace CVE-2016-7052

OpenSSL 1.0.2i : déréférencement de pointeur NULL via CRL

Synthèse de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via une CRL sur une application liée à OpenSSL 1.0.2i, afin de mener un déni de service.
Gravité : 2/4.
Date création : 26/09/2016.
Références : 1996096, 2000095, 2000209, 2003480, 2003620, 2003673, 2008828, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, cpuoct2017, CVE-2016-7052, FEDORA-2016-97454404fe, FEDORA-2016-a555159613, FreeBSD-SA-16:27.openssl, HPESBHF03856, JSA10759, openSUSE-SU-2016:2496-1, openSUSE-SU-2018:0458-1, SA132, SB10171, SP-CAAAPUE, SPL-129207, SSA:2016-270-01, SUSE-SU-2016:2470-1, SUSE-SU-2016:2470-2, TNS-2016-16, VIGILANCE-VUL-20701.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit OpenSSL version 1.0.2i a corrigé un bug dans la gestion des CRL.

Cependant, ce correctif ne vérifie pas si un pointeur est NULL, avant de l'utiliser.

Un attaquant peut donc forcer le déréférencement d'un pointeur NULL via une CRL sur une application liée à OpenSSL 1.0.2i, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de menace informatique CVE-2016-6309

OpenSSL 1.1.0a : utilisation de mémoire libérée via TLS

Synthèse de la vulnérabilité

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via TLS sur une application liée à OpenSSL 1.1.0a, afin de mener un déni de service, et éventuellement d'exécuter du code.
Gravité : 3/4.
Date création : 26/09/2016.
Références : 1996096, 2000095, 2000209, 2003480, 2003620, 2003673, 2008828, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, CVE-2016-6309, HPESBHF03856, JSA10759, SA132, TNS-2016-16, VIGILANCE-VUL-20700.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le produit OpenSSL version 1.1.0a a corrigé la vulnérabilité CVE-2016-6307.

Cependant, la réception d'un message TLS de 16ko libère une zone mémoire avant de la réutiliser.

Un attaquant peut donc provoquer l'utilisation d'une zone mémoire libérée via TLS sur une application liée à OpenSSL 1.1.0a, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)

menace informatique CVE-2016-6302 CVE-2016-6303 CVE-2016-6304

OpenSSL : sept vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de OpenSSL.
Gravité : 3/4.
Nombre de vulnérabilités dans ce bulletin : 7.
Date création : 22/09/2016.
Références : 1991866, 1991867, 1991870, 1991871, 1991875, 1991876, 1991878, 1991880, 1991882, 1991884, 1991885, 1991886, 1991887, 1991889, 1991892, 1991894, 1991896, 1991902, 1991903, 1991951, 1991955, 1991959, 1991960, 1991961, 1992681, 1993777, 1996096, 1999395, 1999421, 1999474, 1999478, 1999479, 1999488, 1999532, 2000095, 2000209, 2000544, 2002870, 2003480, 2003620, 2003673, 2008828, bulletinapr2017, bulletinjul2016, bulletinoct2016, CERTFR-2016-AVI-320, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpuapr2018, cpujan2017, cpujan2018, cpujul2017, cpujul2019, cpuoct2017, CVE-2016-6302, CVE-2016-6303, CVE-2016-6304, CVE-2016-6305, CVE-2016-6306, CVE-2016-6307, CVE-2016-6308, DLA-637-1, DSA-3673-1, DSA-3673-2, FEDORA-2016-97454404fe, FEDORA-2016-a555159613, FG-IR-16-047, FG-IR-16-048, FG-IR-17-127, FreeBSD-SA-16:26.openssl, HPESBHF03856, HT207423, JSA10759, openSUSE-SU-2016:2391-1, openSUSE-SU-2016:2407-1, openSUSE-SU-2016:2496-1, openSUSE-SU-2016:2537-1, openSUSE-SU-2018:0458-1, RHSA-2016:1940-01, RHSA-2016:2802-01, RHSA-2017:1548-01, RHSA-2017:1549-01, RHSA-2017:1550-01, RHSA-2017:1551-01, RHSA-2017:1552-01, RHSA-2017:1658-01, RHSA-2017:1659-01, RHSA-2017:2493-01, RHSA-2017:2494-01, SA132, SA40312, SB10171, SB10215, SOL54211024, SOL90492697, SP-CAAAPUE, SPL-129207, SSA:2016-266-01, STORM-2016-005, SUSE-SU-2016:2387-1, SUSE-SU-2016:2394-1, SUSE-SU-2016:2458-1, SUSE-SU-2016:2468-1, SUSE-SU-2016:2469-1, SUSE-SU-2016:2470-1, SUSE-SU-2016:2470-2, TNS-2016-16, USN-3087-1, USN-3087-2, VIGILANCE-VUL-20678.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans OpenSSL.

Un attaquant peut provoquer une surconsommation de mémoire via une requête OCSP, afin de mener un déni de service. [grav:3/4; CVE-2016-6304]

Un attaquant peut provoquer un blocage de processus dans SSL_peek, afin de mener un déni de service. [grav:2/4; CVE-2016-6305]

Un attaquant peut provoquer un buffer overflow via MDC2_Update, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:1/4; CVE-2016-6303]

Un attaquant peut provoquer un buffer overflow en lecture seule, afin de mener un déni de service. [grav:1/4; CVE-2016-6302]

Un attaquant peut provoquer un buffer overflow en lecture seule via le décodage d'un certificat X.509, afin de mener un déni de service. [grav:1/4; CVE-2016-6306]

Un attaquant peut provoquer une allocation excessive de mémoire pour des blocs TLS. [grav:1/4; CVE-2016-6307]

Un attaquant peut provoquer une allocation excessive de mémoire pour des blocs DTLS. [grav:1/4; CVE-2016-6308]
Bulletin Vigil@nce complet... (Essai gratuit)

menace cyber-sécurité CVE-2016-2183 CVE-2016-6329

Blowfish, Triple-DES : algorithmes trop faibles, SWEET32

Synthèse de la vulnérabilité

Un attaquant peut créer une session TLS/VPN avec un algorithme Blowfish/Triple-DES, et mener une attaque de deux jours, afin de déchiffrer des données.
Gravité : 1/4.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 25/08/2016.
Références : 1610582, 1991866, 1991867, 1991870, 1991871, 1991875, 1991876, 1991878, 1991880, 1991882, 1991884, 1991885, 1991886, 1991887, 1991889, 1991892, 1991894, 1991896, 1991902, 1991903, 1991951, 1991955, 1991959, 1991960, 1991961, 1992681, 1993777, 1994375, 1995099, 1995922, 1998797, 1999054, 1999421, 2000209, 2000212, 2000370, 2000544, 2001608, 2002021, 2002335, 2002336, 2002479, 2002537, 2002870, 2002897, 2002991, 2003145, 2003480, 2003620, 2003673, 2004036, 2008828, 523628, 9010102, bulletinapr2017, c05349499, c05369403, c05369415, c05390849, CERTFR-2017-AVI-012, CERTFR-2019-AVI-049, CERTFR-2019-AVI-311, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, cpujul2017, cpujul2019, cpuoct2017, CVE-2016-2183, CVE-2016-6329, DSA-2018-124, DSA-2019-131, DSA-3673-1, DSA-3673-2, FEDORA-2016-7810e24465, FEDORA-2016-dc2cb4ad6b, FG-IR-16-047, FG-IR-16-048, FG-IR-17-127, FG-IR-17-173, HPESBGN03697, HPESBGN03765, HPESBUX03725, HPSBGN03690, HPSBGN03694, HPSBHF03674, ibm10718843, java_jan2017_advisory, JSA10770, KM03060544, NTAP-20160915-0001, openSUSE-SU-2016:2199-1, openSUSE-SU-2016:2391-1, openSUSE-SU-2016:2407-1, openSUSE-SU-2016:2496-1, openSUSE-SU-2016:2537-1, openSUSE-SU-2017:1638-1, openSUSE-SU-2018:0458-1, RHSA-2017:0336-01, RHSA-2017:0337-01, RHSA-2017:0338-01, RHSA-2017:3113-01, RHSA-2017:3114-01, RHSA-2017:3239-01, RHSA-2017:3240-01, RHSA-2018:2123-01, SA133, SA40312, SB10171, SB10186, SB10197, SB10215, SOL13167034, SP-CAAAPUE, SPL-129207, SSA:2016-266-01, SSA:2016-363-01, SSA-556833, SUSE-SU-2016:2387-1, SUSE-SU-2016:2394-1, SUSE-SU-2016:2458-1, SUSE-SU-2016:2468-1, SUSE-SU-2016:2469-1, SUSE-SU-2016:2470-1, SUSE-SU-2016:2470-2, SUSE-SU-2017:1444-1, SUSE-SU-2017:2838-1, SUSE-SU-2017:3177-1, SWEET32, TNS-2016-16, USN-3087-1, USN-3087-2, USN-3270-1, USN-3339-1, USN-3339-2, USN-3372-1, VIGILANCE-VUL-20473.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Les algorithmes de chiffrement symétrique Blowfish et Triple-DES utilisent des blocs de 64 bits.

Cependant, s'ils sont utilisés en mode CBC, une collision se produit après 785 GB transférés, et il devient possible de déchiffrer les blocs avec une attaque qui dure 2 jours.

Un attaquant peut donc créer une session TLS/VPN avec un algorithme Blowfish/Triple-DES, et mener une attaque de deux jours, afin de déchiffrer des données.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de faille informatique CVE-2016-2182

OpenSSL : corruption de mémoire via BN_bn2dec

Synthèse de la vulnérabilité

Un attaquant peut provoquer une corruption de mémoire via BN_bn2dec() de OpenSSL, afin de mener un déni de service, et éventuellement d'exécuter du code.
Gravité : 2/4.
Date création : 24/08/2016.
Références : 1996096, 1999395, 1999421, 1999474, 1999478, 1999479, 1999488, 1999532, 2000095, 2000209, 2002870, 2003480, 2003620, 2003673, 2008828, bulletinapr2017, bulletinjul2016, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, cpuoct2017, CVE-2016-2182, DLA-637-1, DSA-3673-1, DSA-3673-2, FEDORA-2016-97454404fe, FEDORA-2016-a555159613, FG-IR-16-047, FG-IR-16-048, FG-IR-17-127, FreeBSD-SA-16:26.openssl, HPESBHF03856, JSA10759, K01276005, openSUSE-SU-2016:2391-1, openSUSE-SU-2016:2407-1, openSUSE-SU-2016:2537-1, openSUSE-SU-2018:0458-1, RHSA-2016:1940-01, SA132, SA40312, SB10171, SB10215, SOL01276005, SP-CAAAPUE, SPL-129207, SSA:2016-266-01, SUSE-SU-2016:2387-1, SUSE-SU-2016:2394-1, SUSE-SU-2016:2458-1, SUSE-SU-2016:2468-1, SUSE-SU-2016:2469-1, TNS-2016-16, USN-3087-1, USN-3087-2, VIGILANCE-VUL-20460.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Le bibliothèque OpenSSL travaille sur des grands nombres pour effectuer des opérations comme RSA.

La fonction BN_bn2dec() convertit un grand nombre en sa représentation décimale. Cependant, un nombre spécial force BN_div_word() à retourner une valeur limite, puis les données sont écrites après la fin de la zone mémoire.

Un attaquant peut donc provoquer une corruption de mémoire via BN_bn2dec() de OpenSSL, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Sun GlassFish Enterprise Server :