Update van Java SE, MySQL, VirtualBox en andere Oracle-producten met het verhelpen van kwetsbaarheden

Oracle Company heeft gepubliceerd een geplande release van updates voor zijn producten (Critical Patch Update), gericht op het verhelpen van kritieke problemen en kwetsbaarheden. In de aprilupdate zijn in totaal 297 kwetsbaarheden verholpen.

In de releases Java SE 12.0.1, 11.0.3 en 8u212 zijn 5 beveiligingsproblemen verholpen. Alle kwetsbaarheden kunnen op afstand worden uitgebuit zonder authenticatie. Één kwetsbaarheid, specifiek voor het Windows-platform, gekend CVSS Score 9.0 (CVE-2019-2699), wat overeenkomt met een kritiek niveau van gevaar en een niet-geauthenticeerde gebruiker in staat stelt om applicaties op Java SE te compromitteren via het netwerk. Twee kwetsbaarheden in de 2D grafische subsystemen hebben een niveau van 8.1 gekregen (CVE-2019-2697, CVE-2019-2698). Details zijn nog niet vrijgegeven.

Naast de problemen in Java SE zijn er ook kwetsbaarheden ontdekt in andere producten van Oracle, waaronder:

• 40 kwetsbaarheden in MySQL (maximaal dreigingsniveau 7.5). Het meest kritieke probleem
  (CVE-2019-2632) betreft het subsystem voor verwisselbare modules voor authenticatie. De problemen zullen worden verholpen in de releases MySQL Community Server 8.0.16, 5.7.26 en 5.6.44.
• 12 kwetsbaarheden in VirtualBox, waarvan 7 een kritieke mate van gevaar hebben (CVSS Score 8.8). De kwetsbaarheden zijn verholpen in de updates VirtualBox 6.0.6 en 5.2.28 (in de notities bij de release is het feit dat beveiligingsproblemen zijn verholpen niet gemeld). Details worden niet gegeven, maar gezien het CVSS-niveau zijn de kwetsbaarheden verholpen, demonstrated in de Pwn2Own 2019 competitie en stellen een aanvaller in staat om vanuit de gastomgeving code op de host-systeem uit te voeren.

  staan het toe om het host-systeem vanuit de gastomgeving aan te vallen.

• 3 kwetsbaarheden in Solaris (maximale gevaarsgraad 5.3 — problemen in de IPS-pakketbeheerder, SunSSH en de block management service. De problemen zijn verholpen in de release
  Solaris 11.4 SRU8, waarin ook de ondersteuning voor de UCB-bibliotheken (libucb, librpcsoc, libdbm, libtermcap, libcurses) en de fc-fabric service is hervat, en zijn de versies van de pakketten bijgewerkt
  ibus 1.5.19, NTP 4.2.8p12,
  Firefox 60.6.0esr,
  BIND 9.11.6,
  OpenSSL 1.0.2r,
  MySQL 5.6.43 & 5.7.25,
  libxml2 2.9.9,
  libxslt 1.1.33,
  Wireshark 2.6.7,
  ncurses 6.1.0.20190105,
  Apache httpd 2.4.38,
  perl 5.22.

Bron: opennet.ru