Mise à jour de Java SE, MySQL, VirtualBox et d'autres produits Oracle avec correction de vulnérabilités.

Société Oracle a publié mise à jour planifiée des produits (Critical Patch Update) visant à corriger des problèmes critiques et des vulnérabilités. La mise à jour d'avril corrige en tout 297 vulnérabilités.

Dans les versions Java SE 12.0.1, 11.0.3 et 8u212 5 problèmes de sécurité ont été corrigés. Toutes les vulnérabilités peuvent être exploitées à distance sans authentification. Une vulnérabilité spécifique à la plateforme Windows sont attribuées Score CVSS 9.0 (CVE-2019-2699), ce qui correspond à un niveau de gravité critique et permet à un utilisateur non authentifié d'accéder à distance aux applications sur Java SE. Deux vulnérabilités dans le sous-système de traitement graphique 2D ont un niveau de gravité de 8.1 (CVE-2019-2697, CVE-2019-2698). Les détails ne sont pas encore divulgués.

En plus des problèmes dans Java SE, des vulnérabilités ont également été révélées dans d'autres produits Oracle, tels que :

• 40 vulnérabilités dans MySQL (niveau de gravité maximal 7.5). Le problème le plus critique
  (CVE-2019-2632) concerne le sous-système des modules d'authentification. Les problèmes seront corrigés dans les versions MySQL Community Server 8.0.16, 5.7.26 et 5.6.44.
• 12 vulnérabilités dans VirtualBox, dont 7 ont un degré de gravité critique (Score CVSS 8.8). Les vulnérabilités ont été corrigées dans les mises à jour VirtualBox 6.0.6 et 5.2.28 (dans note relatif à la publication, le fait que les problèmes de sécurité aient été corrigés n'a pas été annoncé). Les détails ne sont pas communiqués, mais étant donné le niveau de CVSS, les vulnérabilités ont été corrigées, démontrées lors du concours Pwn2Own 2019 et permettant d'exécuter du code sur le système hôte à partir de l'environnement invité.

  permettent d'attaquer le système hôte à partir de l'environnement invité.

• 3 vulnérabilités dans Solaris (degré maximum de gravité 5.3 - problèmes dans le gestionnaire de paquets IPS, SunSSH et le service de gestion des verrous. Les problèmes sont corrigés dans la version
  Solaris 11.4 SRU8, qui a également rétabli le support des bibliothèques UCB (libucb, librpcsoc, libdbm, libtermcap, libcurses) et du service fc-fabric, mis à jour les versions des paquets
  ibus 1.5.19, NTP 4.2.8p12,
  Firefox 60.6.0esr,
  BIND 9.11.6,
  OpenSSL 1.0.2r,
  MySQL 5.6.43 & 5.7.25,
  libxml2 2.9.9,
  libxslt 1.1.33,
  Wireshark 2.6.7,
  ncurses 6.1.0.20190105,
  Apache httpd 2.4.38,
  perl 5.22.

Source : opennet.ru