Actualizacións para Java SE, MySQL, VirtualBox e outros produtos Oracle con vulnerabilidades corrixidas

Compañía Oracle publicado lanzamento planificado de actualizacións dos seus produtos (Actualización de parches críticos), destinadas a eliminar problemas críticos e vulnerabilidades. Na actualización de xullo, un total de 319 vulnerabilidades.

En cuestións Java SE 12.0.2, 11.0.4 e 8u221 10 problemas de seguridade solucionados. Pódense explotar 9 vulnerabilidades de forma remota sen autenticación. O nivel de gravidade máis alto asignado é 6.8 (vulnerabilidade en libpng). Non se identificaron problemas elevados ou críticos que permitan que un usuario non autenticado pola rede comprometa as aplicacións Java SE.

Ademais dos problemas en Java SE, as vulnerabilidades fixéronse públicas noutros produtos de Oracle, incluíndo:

• 43 vulnerabilidades en MySQL (nivel de gravidade máximo 9.8, que indica un problema crítico). O problema máis perigoso
  (CVE-2019-3822) asociado con desbordamento do buffer no código de análise da cabeceira NTLM na biblioteca libcurl, que pode ser usado para atacar remotamente o servidor MySQL por parte dun usuario non autenticado. Case todos os demais problemas só aparecen se hai acceso autenticado ao DBMS. A única excepción é a vulnerabilidade en Shell: Admin / InnoDB Cluster, á que se lle asigna un nivel de gravidade de 7.5. Os problemas solucionaranse nas versións MySQL Community Server 8.0.17, 5.7.27 e 5.6.45.

• 14 vulnerabilidades en VirtualBox, dos cales 3 son altamente perigosos (CVSS Score 8.2 e 8.8). As vulnerabilidades corrixense nas actualizacións VirtualBox 6.0.10 e 5.2.32 (en Nota o feito de que se resolveron os problemas de seguridade non se anunciou antes do lanzamento). Non se proporcionan detalles, pero, a xulgar polo nivel de CVSS, elimináronse as vulnerabilidades que permiten executar código no lado do sistema anfitrión desde o ambiente do sistema invitado;
• 10 vulnerabilidades en Solaris (nivel de gravidade máximo 9.1 -
  Vulnerabilidade relacionada con IPv6 no núcleo (CVE-2019-5597) que permite ataques remotos (non se proporcionan detalles). Dúas vulnerabilidades tamén teñen un nivel de gravidade crítico de 8.8: problemas localmente explotables no Common Desktop Environment e as utilidades do cliente para LDAP. Os problemas cun nivel de gravidade superior a 7 tamén inclúen vulnerabilidades explotables remotamente nos controladores ICMPv6 e NFS do núcleo de Solaris e problemas locais no sistema de ficheiros e Gnuplot.

Fonte: opennet.ru