Ενημερώσεις για Java SE, MySQL, VirtualBox και άλλα προϊόντα Oracle με διορθώσεις ευπάθειας

Oracle Company опубликовала προγραμματισμένη έκδοση ενημερώσεων στα προϊόντα της (Critical Patch Update), με στόχο την εξάλειψη κρίσιμων προβλημάτων και τρωτών σημείων. Στην ενημέρωση Ιουλίου, συνολικά 319 τρωτά σημεία.

Σε θέματα Java SE 12.0.2, 11.0.4 και 8u221 Διορθώθηκαν 10 ζητήματα ασφαλείας. 9 ευπάθειες μπορούν να αξιοποιηθούν εξ αποστάσεως χωρίς έλεγχο ταυτότητας. Το υψηλότερο εκχωρημένο επίπεδο σοβαρότητας είναι 6.8 (ευπάθεια στο libpng). Δεν έχουν εντοπιστεί υψηλά ή κρίσιμα ζητήματα που θα επέτρεπαν σε έναν χρήστη χωρίς έλεγχο ταυτότητας μέσω του δικτύου να υπονομεύσει τις εφαρμογές Java SE.

Εκτός από τα ζητήματα στη Java SE, έχουν αποκαλυφθεί ευπάθειες σε άλλα προϊόντα της Oracle, όπως:

• 43 τρωτά σημεία στη MySQL (μέγιστο επίπεδο σοβαρότητας 9.8, που υποδεικνύει ένα κρίσιμο πρόβλημα). Το πιο επικίνδυνο πρόβλημα
  (CVE-2019-3822) σχετίζεται με υπερχείλιση buffer στον κώδικα ανάλυσης κεφαλίδας NTLM στη βιβλιοθήκη libcurl, ο οποίος μπορεί να χρησιμοποιηθεί για απομακρυσμένη επίθεση στον διακομιστή MySQL από έναν χρήστη χωρίς έλεγχο ταυτότητας. Σχεδόν όλα τα άλλα προβλήματα εμφανίζονται μόνο εάν υπάρχει πρόσβαση με έλεγχο ταυτότητας στο DBMS. Η μόνη εξαίρεση είναι η ευπάθεια στο Shell: Admin / InnoDB Cluster, στο οποίο εκχωρείται ένα επίπεδο σοβαρότητας 7.5. Τα ζητήματα θα διορθωθούν στις εκδόσεις MySQL Community Server 8.0.17, 5.7.27 και 5.6.45.

• 14 τρωτά σημεία στο VirtualBox, εκ των οποίων τα 3 είναι άκρως επικίνδυνα (Βαθμολογία CVSS 8.2 και 8.8). Τα τρωτά σημεία διορθώνονται στις ενημερώσεις VirtualBox 6.0.10 και 5.2.32 (σε Σημείωση το γεγονός ότι επιλύθηκαν τα προβλήματα ασφαλείας δεν είχε διαφημιστεί πριν από την κυκλοφορία). Δεν παρέχονται λεπτομέρειες, αλλά, κρίνοντας από το επίπεδο CVSS, έχουν εξαλειφθεί τα τρωτά σημεία που επιτρέπουν την εκτέλεση κώδικα στην πλευρά του συστήματος υποδοχής από το περιβάλλον του συστήματος φιλοξενουμένων.
• 10 τρωτά σημεία σε Solaris (μέγιστο επίπεδο σοβαρότητας 9.1 -
  Ευπάθεια που σχετίζεται με το IPv6 στον πυρήνα (CVE-2019-5597) που επιτρέπει την απομακρυσμένη επίθεση (δεν παρέχονται λεπτομέρειες). Δύο τρωτά σημεία έχουν επίσης ένα κρίσιμο επίπεδο σοβαρότητας 8.8 - τοπικά εκμεταλλεύσιμα ζητήματα στο Common Desktop Environment και στα βοηθητικά προγράμματα-πελάτες για LDAP. Ζητήματα με επίπεδο σοβαρότητας υψηλότερο από 7 περιλαμβάνουν επίσης απομακρυσμένα εκμεταλλεύσιμα τρωτά σημεία στους χειριστές ICMPv6 και NFS στον πυρήνα Solaris και τοπικά προβλήματα στο σύστημα αρχείων και στο Gnuplot.

Πηγή: opennet.ru