La revue des failles du 1er au 13 octobre 2008
Revue des principales failles du 1er au 13 octobre 2008, avec FrSIRT. Aujourd'hui : IBM Lotus Quickr, Novell eDirectory, Opera 9, Sun Java Web Proxy Server Trend Micro OfficeScan.
IBM Lotus Quickr 8.x
Niveau de danger : Modéré
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans IBM Lotus Quickr, elles pourraient être exploitées par des attaquants ou utilisateurs malveillants afin de causer un déni de service ou contourner les mesures de sécurité. Le premier problème résulte d'une erreur présente au niveau du traitement d'une URL contenant une commande OpenDocument avec un argument non-standard, ce qui pourrait permettre à un attaquant d'altérer le fonctionnement d'un serveur vulnérable. La deuxième faille est causée par une erreur de conception pouvant permettre à un gestionnaire de supprimer ou rétrograder un groupe de super utilisateurs. La dernière vulnérabilité est causée par une erreur de conception pouvant permettre à un éditeur de supprimer des pages créées par un autre auteur.
Patch et/ou information : Lien
Novell eDirectory 8.x
Niveau de danger : Critique
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans Novell eDirectory, elles pourraient être exploitées par des attaquants afin de causer un déni de service ou compromettre un système vulnérable. Le premier problème résulte d'un débordement de mémoire présent au niveau du traitement de certaines requêtes (Opcode 0x23 et 0x24), ce qui pourrait permettre à des attaquants d'altérer le fonctionnement d'un service vulnérable ou d'exécuter un code arbitraire. La deuxième vulnérabilité est due à une erreur présente au niveau du traitement de certaines données DSV_READ (Opcode 0x0F), ce qui pourrait permettre à des attaquants d'altérer le fonctionnement d'un service vulnérable ou d'exécuter un code arbitraire. La troisième faille est due à une erreur présente au niveau du traitement des entêtes HTTP Content-Length, ce qui pourrait permettre à un attaquant d'altérer le fonctionnement d'un service vulnérable. La dernière vulnérabilité est due à une erreur présente au niveau du traitement des entêtes HTTP Accept-Language, ce qui pourrait permettre à un attaquant d'altérer le fonctionnement d'un service vulnérable.
Patch et/ou information : Lien
Opera 9.x
Niveau de danger : Critique
Description de la faille : Deux vulnérabilités ont été identifiées dans Opera, elles pourraient être exploitées par des attaquants afin d'obtenir des informations ou compromettre un système vulnérable. Le premier problème résulte d'une erreur présente au niveau du traitement des redirections, ce qui pourrait permettre à un attaquant d'altérer le fonctionnement d'un navigateur vulnérable ou afin d'exécuter un code arbitraire. La seconde vulnérabilité résulte d'une erreur présente au niveau de la mise en cache des applets Java, ce qui pourrait permettre à un attaquant de charger des applets cachés qui seront exécutés dans le contexte de la machine locale, permettant ainsi la lecture d'un fichier arbitraire.
Patch et/ou information : Lien
Sun Java Web Proxy Server 4.x
Niveau de danger : Critique
Description de la faille : Une vulnérabilité été identifiée dans Sun Java System Web Proxy Server, elle pourrait être exploitée par des attaquants distants ou locaux afin de compromettre un système vulnérable. Ce problème résulte d'un débordement de mémoire présent au niveau du sous-système FTP qui ne gère pas correctement certaines données, ce qui pourrait permettre à des attaquants d'altérer le fonctionnement d'un serveur vulnérable ou d'exécuter un code arbitraire.
Patch et/ou information : Lien
Trend Micro OfficeScan 8.x
Niveau de danger : Critique
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans Trend Micro OfficeScan, elles pourraient être exploitées par des attaquants afin d'obtenir des informations sensibles, causer un déni de service ou compromettre un système vulnérable. Le premier problème résulte d'un débordement de mémoire présent au niveau d'un module CGI inconnu, ce qui pourrait permettre à un attaquant d'exécuter un code arbitraire. La deuxième vulnérabilité résulte d'une erreur de pointeur présente au niveau du traitement des entêtes HTTP, ce quoi pourrait être exploité afin de causer un déni de service. La troisième vulnérabilité est causée par une erreur de traversée de répertoire présente au niveau de l'agent de mise à jour.
Patch et/ou information : Lien
| Date | |
|---|---|
| Source : FrSIRT | |
| 29/09 | Adobe Illustrator CS2 pour Mac, Apple iPhone, LANDesk Management Suite 8.x et Mozilla Firefox 2.x - 3.x |
| 15/09 | Apple QuickTime, Microsoft Windows Media Encoder, Novell eDirectory et Microsoft Windows |
| 02/09 | Novell iPrint Client, Opera 9, Sun Solaris 10 et VideoLAN VLC Media Player |