Aggiornamenti per Java SE, MySQL, VirtualBox e altri prodotti Oracle con vulnerabilità risolte

Società Oracle pubblicato rilascio programmato di aggiornamenti dei propri prodotti (Critical Patch Update), volti ad eliminare criticità e vulnerabilità. Nell'aggiornamento di luglio, un totale di 319 vulnerabilità.

In problemi Java SE 12.0.2, 11.0.4 e 8u221 10 problemi di sicurezza risolti. 9 vulnerabilità possono essere sfruttate da remoto senza autenticazione. Il livello di gravità più alto assegnato è 6.8 (vulnerabilità in libpng). Non sono stati identificati problemi elevati o critici che consentirebbero a un utente non autenticato sulla rete di compromettere le applicazioni Java SE.

Oltre ai problemi di Java SE, sono state rese pubbliche le vulnerabilità di altri prodotti Oracle, tra cui:

• 43 vulnerabilità in MySQL (livello di gravità massimo 9.8, che indica un problema critico). Il problema più pericoloso
  (CVE-2019-3822) Associato a overflow del buffer nell'intestazione NTLM che analizza il codice nella libreria libcurl, che può essere utilizzato per attaccare in remoto il server MySQL da un utente non autenticato. Quasi tutti gli altri problemi compaiono solo se esiste un accesso autenticato al DBMS. L'unica eccezione è la vulnerabilità in Shell: Admin / InnoDB Cluster, a cui è assegnato un livello di gravità 7.5. I problemi verranno risolti nelle versioni MySQL Community Server 8.0.17, 5.7.27 e 5.6.45.

• 14 vulnerabilità in VirtualBox, di cui 3 altamente pericolosi (punteggio CVSS 8.2 e 8.8). Le vulnerabilità vengono corrette negli aggiornamenti VirtualBox 6.0.10 e 5.2.32 (in Nota il fatto che i problemi di sicurezza siano stati risolti non è stato pubblicizzato prima del rilascio). I dettagli non vengono forniti, ma, a giudicare dal livello CVSS, le vulnerabilità che consentono l'esecuzione del codice sul lato del sistema host dall'ambiente del sistema ospite sono state eliminate;
• 10 vulnerabilità in Solaris (livello di gravità massimo 9.1 -
  Vulnerabilità relativa a IPv6 nel kernel (CVE-2019-5597) che consente attacchi remoti (dettagli non forniti). Due vulnerabilità hanno anche un livello di gravità critico pari a 8.8: problemi sfruttabili localmente nel Common Desktop Environment e utilità client per LDAP. I problemi con un livello di gravità superiore a 7 includono anche vulnerabilità sfruttabili da remoto nei gestori ICMPv6 e NFS nel kernel Solaris e problemi locali nel file system e in Gnuplot.

Fonte: opennet.ru