L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Sybase Adaptive Server Enterprise

bulletin de vulnérabilité informatique CVE-2016-4014 CVE-2016-4015 CVE-2016-4016

SAP : multiples vulnérabilités de avril 2016

Synthèse de la vulnérabilité

Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 3/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 12/04/2016.
Références : CVE-2016-4014, CVE-2016-4015, CVE-2016-4016, CVE-2016-4017, CVE-2016-4018, DOC-8218, ERPSCAN-16-019, ERPSCAN-16-020, ERPSCAN-16-021, VIGILANCE-VUL-19348.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2015-7828 CVE-2015-7986 CVE-2015-7991

SAP : multiples vulnérabilités de octobre 2015

Synthèse de la vulnérabilité

Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 3/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 13/10/2015.
Date révision : 29/01/2016.
Références : CVE-2015-7828, CVE-2015-7986, CVE-2015-7991, CVE-2015-7992, CVE-2015-7993, CVE-2015-7994, CVE-2015-8028, CVE-2015-8029, CVE-2015-8030, ERPSCAN-15-017, ERPSCAN-15-024, ERPSCAN-15-025, ONAPSIS-2015-024, ONAPSIS-2015-040, ONAPSIS-2015-041, ONAPSIS-2015-042, ONAPSIS-2015-043, ONAPSIS-2015-044, VIGILANCE-VUL-18084, ZDI-15-526, ZDI-15-527, ZDI-15-528, ZDI-15-529, ZDI-15-530, ZDI-15-531, ZDI-15-532.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2016-1910 CVE-2016-1911 CVE-2016-1928

SAP : multiples vulnérabilités de janvier 2016

Synthèse de la vulnérabilité

Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 3/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 12/01/2016.
Date révision : 28/01/2016.
Références : CVE-2016-1910, CVE-2016-1911, CVE-2016-1928, CVE-2016-1929, CVE-2016-7437, DOC-8218, ERPSCAN-15-024, ERPSCAN-16-001, ERPSCAN-16-002, ERPSCAN-16-003, ERPSCAN-16-004, ERPSCAN-16-005, ONAPSIS-2016-051, VIGILANCE-VUL-18691.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2015-2278 CVE-2015-2282 CVE-2015-3994

SAP : multiples vulnérabilités de mai 2015

Synthèse de la vulnérabilité

Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 2/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 12/05/2015.
Références : CVE-2015-2278, CVE-2015-2282, CVE-2015-3994, CVE-2015-3995, CVE-2015-4091, CVE-2015-4092, CVE-2015-4157, CVE-2015-4158, CVE-2015-4159, CVE-2015-4160, CVE-2015-4161, CVE-2016-3946, DOC-8218, ONAPSIS-2015-006, ONAPSIS-2015-007, ONAPSIS-2016-001, VIGILANCE-VUL-16877.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité CVE-2015-3978 CVE-2015-3979 CVE-2015-3980

SAP : multiples vulnérabilités d'avril 2015

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 2/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 14/04/2015.
Références : CVE-2015-3978, CVE-2015-3979, CVE-2015-3980, CVE-2015-3981, DOC-8218, VIGILANCE-VUL-16593.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans SAP.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2014-8659 CVE-2014-8660 CVE-2014-8661

SAP : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 2/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 14/10/2014.
Références : CVE-2014-8659, CVE-2014-8660, CVE-2014-8661, CVE-2014-8662, CVE-2014-8663, CVE-2014-8664, CVE-2014-8665, CVE-2014-8666, CVE-2014-8667, CVE-2014-8668, CVE-2014-8669, DOC-8218, VIGILANCE-VUL-15471.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans SAP.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité 14732

SAP : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de SAP, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 13/05/2014.
Date révision : 19/05/2014.
Références : 1979438, DOC-8218, VIGILANCE-VUL-14732.

Description de la vulnérabilité

Le produit SAP dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de SAP, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2014-0160

OpenSSL : obtention d'information via Heartbeat

Synthèse de la vulnérabilité

Un attaquant peut employer le protocole Heartbeat sur une application compilée avec OpenSSL, afin d'obtenir des informations sensibles, comme des clés stockées en mémoire.
Produits concernés : Tomcat, ArubaOS, i-Suite, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, ARCserve Backup, ASA, Cisco Catalyst, IOS XE Cisco, Prime Infrastructure, Cisco PRSM, Cisco Router, Cisco CUCM, Cisco IP Phone, Cisco Unity ~ précis, XenDesktop, MIMEsweeper, Clearswift Email Gateway, Clearswift Web Gateway, Debian, ECC, PowerPath, ArcGIS ArcView, ArcGIS for Desktop, ArcGIS for Server, Black Diamond, ExtremeXOS, Summit, BIG-IP Hardware, TMOS, Fedora, FortiClient, FortiGate, FortiGate Virtual Appliance, FortiOS, FreeBSD, HP Diagnostics, LoadRunner, Performance Center, AIX, WebSphere MQ, WS_FTP Server, IVE OS, Juniper J-Series, Junos OS, Junos Pulse, Juniper Network Connect, Juniper SA, Juniper UAC, LibreOffice, MBS, McAfee Email Gateway, ePO, GroupShield, McAfee NGFW, VirusScan, McAfee Web Gateway, Windows 8, Windows RT, MySQL Enterprise, NetBSD, OpenBSD, OpenSSL, openSUSE, Opera, Solaris, pfSense, HDX, RealPresence Collaboration Server, Polycom VBP, Puppet, RHEL, RSA Authentication Manager, SIMATIC, Slackware, Sophos AV, Splunk Enterprise, Stonesoft NGFW/VPN, stunnel, ASE, OfficeScan, Ubuntu, Unix (plateforme) ~ non exhaustif, ESXi, VMware Player, vCenter Server, VMware vSphere, VMware vSphere Hypervisor, VMware Workstation, Websense Email Security, Websense Web Filter, Websense Web Security.
Gravité : 3/4.
Conséquences : lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 08/04/2014.
Références : 1669839, 190438, 2076225, 2962393, c04236102, c04267775, c04286049, CA20140413-01, CERTFR-2014-ALE-003, CERTFR-2014-AVI-156, CERTFR-2014-AVI-161, CERTFR-2014-AVI-162, CERTFR-2014-AVI-167, CERTFR-2014-AVI-169, CERTFR-2014-AVI-177, CERTFR-2014-AVI-178, CERTFR-2014-AVI-179, CERTFR-2014-AVI-180, CERTFR-2014-AVI-181, CERTFR-2014-AVI-198, CERTFR-2014-AVI-199, CERTFR-2014-AVI-213, cisco-sa-20140409-heartbleed, CTX140605, CVE-2014-0160, CVE-2014-0346-REJECT, DSA-2896-1, DSA-2896-2, emr_na-c04236102-7, ESA-2014-034, ESA-2014-036, ESA-2014-075, FEDORA-2014-4879, FEDORA-2014-4910, FEDORA-2014-4982, FEDORA-2014-4999, FG-IR-14-011, FreeBSD-SA-14:06.openssl, Heartbleed, HPSBMU02995, HPSBMU03025, HPSBMU03040, ICSA-14-105-03, JSA10623, MDVSA-2014:123, MDVSA-2015:062, NetBSD-SA2014-004, openSUSE-SU-2014:0492-1, openSUSE-SU-2014:0560-1, openSUSE-SU-2014:0719-1, pfSense-SA-14_04.openssl, RHSA-2014:0376-01, RHSA-2014:0377-01, RHSA-2014:0378-01, RHSA-2014:0396-01, RHSA-2014:0416-01, SA40005, SA79, SB10071, SOL15159, SPL-82696, SSA:2014-098-01, SSA-635659, SSRT101565, USN-2165-1, VIGILANCE-VUL-14534, VMSA-2014-0004, VMSA-2014-0004.1, VMSA-2014-0004.2, VMSA-2014-0004.3, VMSA-2014-0004.6, VMSA-2014-0004.7, VU#720951.

Description de la vulnérabilité

L'extension Heartbeat de TLS (RFC 6520) assure une fonctionnalité de keep-alive, sans effectuer de renégociation. Pour cela, des données aléatoires sont échangées (payload).

La version 1.0.1 de OpenSSL implémente Heartbeat, qui est activé par défaut. La fonction [d]tls1_process_heartbeat() gère les messages Heartbeat. Cependant, elle ne vérifie pas la taille des données aléatoires, et continue à lire après la fin du payload, puis envoie la zone mémoire complète (jusqu'à 64ko) à l'autre extrémité (client ou serveur).

Un attaquant peut donc employer le protocole Heartbeat sur une application compilée avec OpenSSL, afin d'obtenir des informations sensibles, comme des clés stockées en mémoire.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité 14262

SAP : multiples vulnérabilités de février 2014

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de SAP.
Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 14/02/2014.
Références : 1716640, 1769611, 1771706, 1777988, 1781171, 1833327, 1911319, 1913388, 1915908, 1942332, VIGILANCE-VUL-14262.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été publiquement annoncées ce mois-ci par SAP.

Un attaquant peut traverser les répertoires dans HFILTAX0_FORMS0_ALV, afin de lire un fichier situé hors de la racine. [grav:2/4; 1913388]

Un attaquant peut traverser les répertoires dans HFISTWC0_FORMS, afin de lire un fichier situé hors de la racine. [grav:2/4; 1777988]

Un attaquant peut traverser les répertoires dans HFIUTMS0, afin de lire un fichier situé hors de la racine. [grav:2/4; 1771706]

Un attaquant peut traverser les répertoires dans HFISTBC0_SUBR, afin de lire un fichier situé hors de la racine. [grav:2/4; 1769611]

Un attaquant peut provoquer un Cross Site Scripting dans Business Planning and Consolidation, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; 1942332]

Un attaquant peut contourner les restrictions d'accès de ABAP Reports, afin de lire ou modifier des données. [grav:2/4; 1911319]

Un attaquant peut contourner les restrictions d'accès de ABAP Reports, afin de lire ou modifier des données. [grav:2/4; 1716640]

Un attaquant peut contourner les restrictions d'accès de ABAP Reports, afin de lire ou modifier des données. [grav:2/4; 1915908]

Un attaquant peut inviter la victime à cliquer dans WebDynpro Java, afin d'effectuer des opérations. [grav:1/4; 1781171]

Un attaquant peut provoquer une injection SQL dans LSZRSF03, afin de lire ou modifier des données. [grav:2/4; 1833327]

D'autres vulnérabilités ont peut-être été annoncées ce mois-ci, mais elles sont privées. Il faut contacter SAP pour avoir la liste complète.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité 14260

SAP : exécution de code via CTC

Synthèse de la vulnérabilité

Produits concernés : Business Objects, Crystal Enterprise, Crystal Reports, SAP ERP, NetWeaver, ASE.
Gravité : 3/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 14/02/2014.
Références : 1963100, VIGILANCE-VUL-14260.

Description de la vulnérabilité

Un attaquant peut employer la servlet CTC de SAP, afin d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Sybase Adaptive Server Enterprise :