Aktualizace pro Java SE, MySQL, VirtualBox a další produkty Oracle s opravenými chybami zabezpečení

Společnost Oracle publikováno plánované vydání aktualizací svých produktů (Critical Patch Update), zaměřené na odstranění kritických problémů a zranitelností. V lednové aktualizaci celkem 397 zranitelností.

V otázkách Java SE 14.0.1, 11.0.7 a 8u251 vyloučeno 15 bezpečnostních problémů. Všechny zranitelnosti lze zneužít vzdáleně bez ověřování. Nejvyšší úroveň závažnosti je 8.3, která je přiřazena problémům v knihovnách (CVE-2020-2803, CVE-2020-2805). Dvě zranitelnosti (v libxslt a JSSE) mají úrovně závažnosti 8.1 a 7.5.

Kromě problémů v Java SE byly odhaleny zranitelnosti i v dalších produktech Oracle, včetně:

• 35 zranitelností na serveru MySQL a
  2 zranitelnosti v implementaci klienta MySQL (C API). Nejvyšší úroveň závažnosti 9.8 je přiřazena zranitelnosti CVE-2019-5482, která se objeví při kompilaci s podporou cURL. Problémy opravené ve vydáních MySQL Community Server 8.0.20, 5.7.30 a 5.6.49.

• 19 zranitelností, z toho 7 problémů má kritickou úroveň nebezpečí (CVSS větší než 8). To zahrnuje opravu zranitelností používaných při útocích předvedených na soutěži Pwn2Own 2020 a umožnění, prostřednictvím manipulací na straně hostovaného systému, získat přístup k hostitelskému systému a spustit kód s právy hypervizora. Chyby zabezpečení jsou opraveny v aktualizacích VirtualBox 6.1.6, 6.0.20 a 5.2.40.
• 6 zranitelností v Solarisu. Maximální stupeň nebezpečí 8.8 - provozováno místně problém v Common Desktop Environment, což umožňuje nepřivilegovanému uživateli spouštět kód s právy root. Problémy byly také opraveny v modulu jádra implementujícím protokol SMB, ve Whodo a v příkazu svcbundle SMF. Problémy opravené ve včerejší aktualizaci Solaris 11.4 SRU 20.

Zdroj: opennet.ru