L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de WebSphere AS Traditional

vulnérabilité informatique CVE-2014-3566

SSL 3.0 : déchiffrement de session, POODLE

Synthèse de la vulnérabilité

Un attaquant, placé en Man-in-the-Middle, peut déchiffrer une session SSL 3.0, afin d'obtenir des informations sensibles.
Produits concernés : SES, SNS, Apache httpd, Arkoon FAST360, ArubaOS, Asterisk Open Source, BES, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, GAiA, CheckPoint IP Appliance, IPSO, SecurePlatform, CheckPoint Security Appliance, CheckPoint Security Gateway, Cisco ASR, Cisco ACE, ASA, AsyncOS, Cisco CSS, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, IronPort Email, Nexus par Cisco, NX-OS, Prime Infrastructure, Cisco PRSM, Cisco Router, WebNS, Clearswift Email Gateway, Clearswift Web Gateway, CUPS, Debian, Black Diamond, ExtremeXOS, Ridgeline, Summit, BIG-IP Hardware, TMOS, Fedora, FortiGate, FortiGate Virtual Appliance, FortiManager, FortiManager Virtual Appliance, FortiOS, FreeBSD, F-Secure AV, hMailServer, HPE BSM, HP Data Protector, HPE NNMi, HP Operations, ProCurve Switch, SiteScope, HP Switch, TippingPoint IPS, HP-UX, AIX, Domino, Notes, Security Directory Server, SPSS Data Collection, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, WebSphere MQ, WS_FTP Server, IVE OS, Juniper J-Series, Junos OS, Junos Space, Junos Space Network Management Platform, MAG Series par Juniper, NSM Central Manager, NSMXpress, Juniper SA, MBS, McAfee Email and Web Security, McAfee Email Gateway, ePO, VirusScan, McAfee Web Gateway, IE, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 7, Windows 8, Windows (plateforme) ~ non exhaustif, Windows RT, Windows Vista, NETASQ, NetBSD, NetIQ Sentinel, NetScreen Firewall, ScreenOS, nginx, OpenSSL, openSUSE, openSUSE Leap, Oracle DB, Oracle Fusion Middleware, Oracle Identity Management, Oracle OIT, Solaris, Tuxedo, WebLogic, Palo Alto Firewall PA***, PAN-OS, Polycom CMA, HDX, RealPresence Collaboration Server, RealPresence Distributed Media Application, Polycom VBP, Postfix, SSL (protocole), Puppet, RHEL, JBoss EAP par Red Hat, RSA Authentication Manager, ROS, ROX, RuggedSwitch, Slackware, Spectracom SecureSync, Splunk Enterprise, stunnel, SUSE Linux Enterprise Desktop, SLES, Synology DSM, Ubuntu, Unix (plateforme) ~ non exhaustif, ESXi, vCenter Server, VMware vSphere, VMware vSphere Hypervisor, WindRiver Linux.
Gravité : 3/4.
Date création : 15/10/2014.
Références : 10923, 1589583, 1595265, 1653364, 1657963, 1663874, 1687167, 1687173, 1687433, 1687604, 1687611, 1690160, 1690185, 1690342, 1691140, 1692551, 1695392, 1696383, 1699051, 1700706, 2977292, 3009008, 7036319, aid-10142014, AST-2014-011, bulletinapr2015, bulletinjan2015, bulletinjan2016, bulletinjul2015, bulletinjul2016, bulletinoct2015, c04486577, c04487990, c04492722, c04497114, c04506802, c04510230, c04567918, c04616259, c04626982, c04676133, c04776510, CERTFR-2014-ALE-007, CERTFR-2014-AVI-454, CERTFR-2014-AVI-509, CERTFR-2015-AVI-169, CERTFR-2016-AVI-303, cisco-sa-20141015-poodle, cpujul2017, CTX216642, CVE-2014-3566, DSA-3053-1, DSA-3253-1, DSA-3489-1, ESA-2014-178, ESA-2015-098, ESXi500-201502001, ESXi500-201502101-SG, ESXi510-201503001, ESXi510-201503001-SG, ESXi510-201503101-SG, ESXi550-201501001, ESXi550-201501101-SG, FEDORA-2014-12989, FEDORA-2014-12991, FEDORA-2014-13012, FEDORA-2014-13017, FEDORA-2014-13040, FEDORA-2014-13069, FEDORA-2014-13070, FEDORA-2014-13444, FEDORA-2014-13451, FEDORA-2014-13764, FEDORA-2014-13777, FEDORA-2014-13781, FEDORA-2014-13794, FEDORA-2014-14234, FEDORA-2014-14237, FEDORA-2014-15379, FEDORA-2014-15390, FEDORA-2014-15411, FEDORA-2014-17576, FEDORA-2014-17587, FEDORA-2015-9090, FEDORA-2015-9110, FreeBSD-SA-14:23.openssl, FSC-2014-8, HPSBGN03256, HPSBGN03305, HPSBGN03332, HPSBHF03156, HPSBHF03300, HPSBMU03152, HPSBMU03184, HPSBMU03213, HPSBMU03416, HPSBUX03162, HPSBUX03194, JSA10656, MDVSA-2014:203, MDVSA-2014:218, MDVSA-2015:062, NetBSD-SA2014-015, nettcp_advisory, openSUSE-SU-2014:1331-1, openSUSE-SU-2014:1384-1, openSUSE-SU-2014:1395-1, openSUSE-SU-2014:1426-1, openSUSE-SU-2016:0640-1, openSUSE-SU-2016:1586-1, openSUSE-SU-2017:0980-1, PAN-SA-2014-0005, POODLE, RHSA-2014:1652-01, RHSA-2014:1653-01, RHSA-2014:1692-01, RHSA-2014:1920-01, RHSA-2014:1948-01, RHSA-2015:0010-01, RHSA-2015:0011-01, RHSA-2015:0012-01, RHSA-2015:1545-01, RHSA-2015:1546-01, SA83, SB10090, SB10104, sk102989, SOL15702, SP-CAAANKE, SP-CAAANST, SPL-91947, SPL-91948, SSA:2014-288-01, SSA-396873, SSA-472334, SSRT101767, STORM-2014-02-FR, SUSE-SU-2014:1357-1, SUSE-SU-2014:1361-1, SUSE-SU-2014:1386-1, SUSE-SU-2014:1387-1, SUSE-SU-2014:1387-2, SUSE-SU-2014:1409-1, SUSE-SU-2015:0010-1, SUSE-SU-2016:1457-1, SUSE-SU-2016:1459-1, T1021439, TSB16540, USN-2839-1, VIGILANCE-VUL-15485, VMSA-2015-0001, VMSA-2015-0001.1, VMSA-2015-0001.2, VN-2014-003, VU#577193.

Description de la vulnérabilité

Les sessions SSL/TLS peuvent être établies en utilisant plusieurs protocoles :
 - SSL 2.0 (obsolète)
 - SSL 3.0
 - TLS 1.0
 - TLS 1.1
 - TLS 1.2

Un attaquant peut abaisser la version (downgrade) en SSLv3. Cependant, avec SSL 3.0, un attaquant peut modifier la position du padding (octets de bourrage) en chiffrement CBC, afin de progressivement deviner des fragments d'information en clair.

Cette vulnérabilité porte le nom POODLE (Padding Oracle On Downgraded Legacy Encryption).

Un attaquant, placé en Man-in-the-Middle, peut donc déchiffrer une session SSL 3.0, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2014-3021 CVE-2014-3083 CVE-2014-4770

WebSphere AS 7.0 : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de IBM WebSphere AS 7.0.
Produits concernés : WebSphere AS Traditional.
Gravité : 2/4.
Date création : 13/10/2014.
Références : 1684612, 7014463, CVE-2014-3021, CVE-2014-3083, CVE-2014-4770, CVE-2014-4816, PI08268, PI17768, PI23055, PI30579, VIGILANCE-VUL-15465.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans IBM WebSphere AS 7.0.

Un attaquant peut obtenir des informations HTTP sensibles. [grav:2/4; CVE-2014-3021, PI08268]

Un attaquant peut traverser les répertoires, afin de lire un fichier situé hors de la racine. [grav:2/4; CVE-2014-3083, PI17768, PI30579]

Un attaquant peut provoquer un Cross Site Request Forgery dans Administrative Console, afin de forcer la victime à effectuer des opérations (VIGILANCE-VUL-15387). [grav:2/4; CVE-2014-4770, CVE-2014-4816, PI23055]
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2014-4770 CVE-2014-4816

WebSphere Application Server : deux vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de WebSphere Application Server.
Produits concernés : WebSphere AS Traditional.
Gravité : 2/4.
Date création : 22/09/2014.
Références : 1690185, 4038403, 7014463, 7036319, CVE-2014-4770, CVE-2014-4816, VIGILANCE-VUL-15387, VU#573356.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans WebSphere Application Server.

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; CVE-2014-4770]

Un attaquant peut provoquer un Cross Site Request Forgery, afin de forcer la victime à effectuer des opérations. [grav:2/4; CVE-2014-4816]
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique 15296

WebSphere Application Server Integrated Solutions Console : Cross Site Scripting de Username

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting dans Username de WebSphere Application Server Integrated Solutions Console, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : WebSphere AS Traditional.
Gravité : 2/4.
Date création : 09/09/2014.
Références : VIGILANCE-VUL-15296.

Description de la vulnérabilité

Le produit WebSphere Application Server Integrated Solutions Console dispose d'un service web.

Cependant, les données reçues dans le champ "username" ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting dans Username de WebSphere Application Server Integrated Solutions Console, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2014-0098 CVE-2014-0963 CVE-2014-3022

WebSphere AS 8.5 : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de IBM WebSphere AS 8.5.
Produits concernés : HP-UX, WebSphere AS Traditional.
Gravité : 3/4.
Date création : 19/08/2014.
Références : 1681249, c04483248, CERTFR-2014-AVI-131, CVE-2014-0098, CVE-2014-0963, CVE-2014-3022, CVE-2014-3083, CVE-2014-4764, CVE-2014-4767, HPSBUX03150, PI09594, PI13028, PI17025, PI17768, PI21189, PI21284, PI30579, SSRT101681, VIGILANCE-VUL-15205.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans IBM WebSphere 8.5.

Un attaquant peut provoquer une erreur, afin d'obtenir des informations sensibles. [grav:1/4; CVE-2014-3022, PI09594]

Un attaquant peut employer un cookie tronqué, afin de mener un déni de service dans mod_log_config de Apache HTTP Server (VIGILANCE-VUL-14438). [grav:2/4; CERTFR-2014-AVI-131, CVE-2014-0098, PI13028]

Un attaquant peut envoyer des messages SSL/TLS illicites vers les applications utilisant IBM GSKit, afin de mener un déni de service (VIGILANCE-VUL-14775). [grav:3/4; CVE-2014-0963, PI17025]

Un attaquant peut traverser les répertoires, afin de lire un fichier situé hors de la racine. [grav:2/4; CVE-2014-3083, PI17768, PI30579]

Un attaquant peut provoquer un arrêt du composant "Load Balancer for IPv4 Dispatcher", afin de mener un déni de service. [grav:3/4; CVE-2014-4764, PI21189]

Un attaquant peut réduire le niveau de contrôle lors de l'installation d'application ou d'extensions depuis le depôt "Liberty". [grav:2/4; CVE-2014-4767, PI21284]
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2014-3577

Apache HttpComponents HttpClient : validation incorrecte de certificat

Synthèse de la vulnérabilité

Un attaquant peut créer un certificat X.509 qui sera mal vérifié par Apache HttpComponents HttpClient, afin d'intercepter le trafic destiné à ou émis par le serveur.
Produits concernés : Apache HttpClient, Fedora, HPE NNMi, QRadar SIEM, WebSphere AS Traditional, RHEL, JBoss EAP par Red Hat, Ubuntu.
Gravité : 1/4.
Date création : 18/08/2014.
Références : 2015815, 7036319, c05103564, CVE-2014-3577, FEDORA-2014-9539, FEDORA-2014-9581, FEDORA-2014-9617, FEDORA-2014-9629, HPSBMU03584, RHSA-2014:1082-01, RHSA-2014:1146-01, RHSA-2014:1162-01, RHSA-2014:1163-01, RHSA-2014:1166-01, RHSA-2014:1320-01, RHSA-2014:1321-01, RHSA-2014:1322-01, RHSA-2014:1323-01, RHSA-2014:1833-01, RHSA-2014:1834-01, RHSA-2014:1835-01, RHSA-2014:1836-01, RHSA-2014:1891-01, RHSA-2014:1892-01, RHSA-2014:1904-01, RHSA-2014:2019-01, RHSA-2014:2020-01, RHSA-2015:0125-01, RHSA-2015:0158-01, RHSA-2015:0234-01, RHSA-2015:0235-01, RHSA-2015:0675-01, RHSA-2015:0720-01, RHSA-2015:0765-01, RHSA-2015:0850-01, RHSA-2015:0851-01, RHSA-2015:1009, RHSA-2015:1176-01, RHSA-2015:1177-01, RHSA-2016:1931-01, USN-2769-1, VIGILANCE-VUL-15198.

Description de la vulnérabilité

La bibliothèque HTTP HttpClient peut gérer des connexions HTTP sur SSL.

Pour authentifier un serveur, le client doit non seulement valider le certificat (signatures cryptographiques, dates de validité, etc.), mais aussi que le certificat présenté corresponde bien au serveur visité. Cette vérification se fait normalement par les noms DNS, parfois par les adresses IP. Cependant, au lieu de chercher le champ ASN.1 précis comprenant le nom du serveur, à savoir l'extension subjectAltName ou par compatibilité le champ CN du nom X.501 du titulaire, la bibliothèque cherche une sous-chaine correspondant au nom DNS dans une représentation textuelle du nom X.501. Un attaquant peut alors utiliser un certificat dont un champ du nom X.501 contient le nom du serveur cible pour intercepter le trafic.

Ceci est une variante plus subtile de VIGILANCE-VUL-12182.

Un attaquant peut donc créer un certificat X.509 qui sera mal vérifié par Apache HttpComponents HttpClient, afin d'intercepter le trafic destiné à ou émis par le serveur.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité CVE-2014-0231

Apache httpd : déni de service via mod_cgid

Synthèse de la vulnérabilité

Un attaquant, autorisé à déposer un script CGI illicite sur le serveur, peut bloquer mod_cgid de Apache httpd, afin de mener un déni de service.
Produits concernés : Apache httpd, Debian, Fedora, HP-UX, WebSphere AS Traditional, NSMXpress, MBS, openSUSE, Solaris, Puppet, RHEL, JBoss EAP par Red Hat, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Grid Manager, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Slackware, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 1/4.
Date création : 17/07/2014.
Références : 1690185, 1695392, 7036319, c04686230, c04832246, CERTFR-2015-AVI-286, CVE-2014-0231, DSA-2989-1, FEDORA-2014-8742, FEDORA-2014-9057, HPSBUX03337, HPSBUX03512, JSA10685, MDVSA-2014:142, MDVSA-2015:093, openSUSE-SU-2014:0969-1, openSUSE-SU-2014:1044-1, openSUSE-SU-2014:1045-1, openSUSE-SU-2014:1647-1, RHSA-2014:0920-01, RHSA-2014:0921-01, RHSA-2014:0922-01, RHSA-2014:1019-01, RHSA-2014:1020-01, RHSA-2014:1021-01, RHSA-2014:1086-01, RHSA-2014:1087-01, RHSA-2014:1088-01, SSA:2014-204-01, SSRT102066, SSRT102254, SUSE-SU-2014:0967-1, SUSE-SU-2014:1080-1, SUSE-SU-2014:1081-1, SUSE-SU-2014:1082-1, USN-2299-1, VIGILANCE-VUL-15070.

Description de la vulnérabilité

Le module mod_cgid de Apache httpd gère les scripts CGI.

Cependant, si un script CGI ne dépile pas son entrée standard (stdin), le processus fils attend indéfiniment.

Un attaquant, autorisé à déposer un script CGI illicite sur le serveur, peut donc bloquer mod_cgid de Apache httpd, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2014-0118

Apache httpd : déni de service via mod_deflate

Synthèse de la vulnérabilité

Un attaquant peut envoyer des données spéciales vers Apache httpd avec mod_deflate en Input Filter, afin de mener un déni de service.
Produits concernés : Apache httpd, Apache httpd Modules ~ non exhaustif, Debian, Fedora, HP-UX, WebSphere AS Traditional, NSMXpress, MBS, Solaris, Puppet, RHEL, JBoss EAP par Red Hat, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Grid Manager, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Slackware, Ubuntu.
Gravité : 2/4.
Date création : 17/07/2014.
Références : 1690185, 1695392, 7036319, c04686230, c04832246, CERTFR-2015-AVI-286, CVE-2014-0118, DSA-2989-1, FEDORA-2014-8742, FEDORA-2014-9057, HPSBUX03337, HPSBUX03512, JSA10685, MDVSA-2014:142, MDVSA-2015:093, RHSA-2014:0920-01, RHSA-2014:0921-01, RHSA-2014:0922-01, RHSA-2014:1019-01, RHSA-2014:1020-01, RHSA-2014:1021-01, RHSA-2014:1086-01, RHSA-2014:1087-01, RHSA-2014:1088-01, SSA:2014-204-01, SSRT102066, SSRT102254, USN-2299-1, VIGILANCE-VUL-15067.

Description de la vulnérabilité

Le module mod_deflate de Apache httpd compresse/décompresse les données.

La décompression du corps HTTP est par exemple activée avec :
  <Location /dav-area>
    SetInputFilter DEFLATE
  </Location>

Cependant, dans ce cas, des données spéciales conduisent à la consommation de nombreuses ressources.

Un attaquant peut donc envoyer des données spéciales vers Apache httpd avec mod_deflate en Input Filter, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2014-0226

Apache httpd : buffer overflow de mod_status

Synthèse de la vulnérabilité

Un attaquant peut provoquer un buffer overflow dans mod_status de Apache httpd, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : Apache httpd, Apache httpd Modules ~ non exhaustif, Debian, Fedora, HP-UX, WebSphere AS Traditional, NSMXpress, MBS, openSUSE, Solaris, Puppet, RHEL, JBoss EAP par Red Hat, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Grid Manager, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Slackware, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 2/4.
Date création : 17/07/2014.
Références : 1690185, 1695392, 7036319, c04686230, c04832246, CERTFR-2015-AVI-286, CVE-2014-0226, DSA-2989-1, FEDORA-2014-8742, FEDORA-2014-9057, HPSBUX03337, HPSBUX03512, JSA10685, MDVSA-2014:142, MDVSA-2015:093, openSUSE-SU-2014:0969-1, openSUSE-SU-2014:1044-1, openSUSE-SU-2014:1045-1, openSUSE-SU-2014:1647-1, RHSA-2014:0920-01, RHSA-2014:0921-01, RHSA-2014:0922-01, RHSA-2014:1019-01, RHSA-2014:1020-01, RHSA-2014:1021-01, RHSA-2014:1086-01, RHSA-2014:1087-01, RHSA-2014:1088-01, SSA:2014-204-01, SSRT102066, SSRT102254, SUSE-SU-2014:0967-1, SUSE-SU-2014:1080-1, SUSE-SU-2014:1081-1, SUSE-SU-2014:1082-1, USN-2299-1, VIGILANCE-VUL-15066, ZDI-14-236.

Description de la vulnérabilité

Le module mod_status peut être activé sur Apache httpd :
  <Location /server-status>
    SetHandler server-status
    Require host example.com
  </Location>
Son accès est généralement restreint.

Le ScoreBoard de httpd stocke toutes les informations concernant les processus et les sessions en cours. Le module mod_status lit le ScoreBoard. Cependant, les données ne sont pas correctement synchronisées : lorsque deux requêtes sont envoyées sur /server-status et sur une page classique, la taille des données (client, request, vhost) peut être incohérente.

Un attaquant peut donc provoquer un buffer overflow dans mod_status de Apache httpd, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2014-2483 CVE-2014-2490 CVE-2014-4208

Oracle Java : multiples vulnérabilités de juillet 2014

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Oracle Java.
Produits concernés : Debian, Fedora, HP-UX, AIX, DB2 UDB, Domino, Notes, Tivoli Workload Scheduler, WebSphere AS Traditional, WebSphere MQ, MBS, ePO, Java OpenJDK, openSUSE, Java Oracle, JavaFX, Puppet, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu, Unix (plateforme) ~ non exhaustif, vCenter Server, VMware vSphere.
Gravité : 3/4.
Date création : 16/07/2014.
Références : 1680418, 1686749, 1686824, 1689579, 7014224, c04398922, c04398943, CERTFR-2014-AVI-320, cpujul2014, CVE-2014-2483, CVE-2014-2490, CVE-2014-4208, CVE-2014-4209, CVE-2014-4216, CVE-2014-4218, CVE-2014-4219, CVE-2014-4220, CVE-2014-4221, CVE-2014-4223, CVE-2014-4227, CVE-2014-4244, CVE-2014-4247, CVE-2014-4252, CVE-2014-4262, CVE-2014-4263, CVE-2014-4264, CVE-2014-4265, CVE-2014-4266, CVE-2014-4268, DSA-2980-1, DSA-2987-1, DSA-2987-2, FEDORA-2014-8395, FEDORA-2014-8407, FEDORA-2014-8417, FEDORA-2014-8441, HPSBUX03091, HPSBUX03092, MDVSA-2014:141, openSUSE-SU-2014:1638-1, openSUSE-SU-2014:1645-1, RHSA-2014:0889-01, RHSA-2014:0890-01, RHSA-2014:0902-01, RHSA-2014:0907-01, RHSA-2014:0908-01, RHSA-2014:1033-01, RHSA-2014:1036-01, RHSA-2014:1041-01, RHSA-2014:1042-01, SB10083, SSRT101667, SSRT101668, SUSE-SU-2014:0961-1, USN-2312-1, USN-2319-1, USN-2319-2, USN-2319-3, VIGILANCE-VUL-15051, VMSA-2014-0008.2, VMSA-2014-0012, ZDI-14-258.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.

Un attaquant peut employer une vulnérabilité de Deployment, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4227]

Un attaquant peut employer une vulnérabilité de Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4219]

Un attaquant peut employer une vulnérabilité de Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-2490, ZDI-14-258]

Un attaquant peut employer une vulnérabilité de Hotspot, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4216]

Un attaquant peut employer une vulnérabilité de JavaFX, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4247]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-2483]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4223]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations, d'altérer des informations, ou de mener un déni de service. [grav:3/4; CVE-2014-4262]

Un attaquant peut employer une vulnérabilité de JMX, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2014-4209]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'altérer des informations. [grav:2/4; CVE-2014-4265]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'altérer des informations. [grav:2/4; CVE-2014-4220]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'altérer des informations. [grav:2/4; CVE-2014-4218]

Un attaquant peut employer une vulnérabilité de Security, afin d'obtenir des informations. [grav:2/4; CVE-2014-4252]

Un attaquant peut employer une vulnérabilité de Serviceability, afin d'altérer des informations. [grav:2/4; CVE-2014-4266]

Un attaquant peut employer une vulnérabilité de Swing, afin d'obtenir des informations. [grav:2/4; CVE-2014-4268]

Un attaquant peut employer une vulnérabilité de Security, afin de mener un déni de service. [grav:2/4; CVE-2014-4264]

Un attaquant peut employer une vulnérabilité de Libraries, afin d'obtenir des informations. [grav:2/4; CVE-2014-4221]

Un attaquant peut employer une vulnérabilité de Security, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2014-4244]

Un attaquant peut employer une vulnérabilité de Security, afin d'obtenir ou d'altérer des informations. [grav:2/4; CVE-2014-4263]

Un attaquant peut employer une vulnérabilité de Deployment, afin d'altérer des informations. [grav:1/4; CVE-2014-4208]
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur WebSphere AS Traditional :