Updates voor Java SE, MySQL, VirtualBox en andere Oracle-producten met verholpen kwetsbaarheden

Oracle-bedrijf опубликовала geplande release van updates voor zijn producten (Critical Patch Update), gericht op het elimineren van kritieke problemen en kwetsbaarheden. In de juli-update was een totaal van 319 kwetsbaarheden.

Problemen Java SE 12.0.2, 11.0.4 en 8u221 10 beveiligingsproblemen opgelost. 9 kwetsbaarheden kunnen op afstand worden misbruikt zonder authenticatie. Het hoogste toegekende ernstniveau is 6.8 (kwetsbaarheid in libpng). Er zijn geen ernstige of kritieke problemen geïdentificeerd waardoor een niet-geverifieerde gebruiker via het netwerk Java SE-applicaties zou kunnen compromitteren.

Naast de problemen in Java SE zijn er kwetsbaarheden onthuld in andere Oracle-producten, waaronder:

• 43 kwetsbaarheden in MySQL (maximaal ernstniveau 9.8, wat een kritiek probleem aangeeft). Het gevaarlijkste probleem
  (CVE-2019-3822) geassocieerd met bufferoverloop in de NTLM-header-parseercode in de libcurl-bibliotheek, die kan worden gebruikt om de MySQL-server op afstand aan te vallen door een niet-geverifieerde gebruiker. Bijna alle andere problemen treden alleen op als er geverifieerde toegang tot het DBMS is. De enige uitzondering is de kwetsbaarheid in Shell: Admin/InnoDB Cluster, waaraan een ernstniveau van 7.5 is toegekend. Problemen worden opgelost in releases MySQL Community Server 8.0.17, 5.7.27 en 5.6.45.

• 14 kwetsbaarheden in VirtualBox, waarvan er 3 zeer gevaarlijk zijn (CVSS-score 8.2 en 8.8). Kwetsbaarheden worden opgelost in updates VirtualBox 6.0.10 en 5.2.32 (in opmerking het feit dat de beveiligingsproblemen waren opgelost, werd vóór de release niet geadverteerd). Er worden geen details gegeven, maar op basis van het CVSS-niveau zijn de kwetsbaarheden geëlimineerd die het mogelijk maken dat code wordt uitgevoerd op de hostsysteemkant vanuit de gastsysteemomgeving;
• 10 kwetsbaarheden in Solaris (maximaal ernstniveau 9.1 -
  IPv6-gerelateerde kwetsbaarheid in de kernel (CVE-2019-5597) waardoor aanvallen op afstand mogelijk zijn (details niet verstrekt). Twee kwetsbaarheden hebben ook een kritiek ernstniveau van 8.8: lokaal exploiteerbare problemen in de Common Desktop Environment en clienthulpprogramma's voor LDAP. Problemen met een ernstniveau hoger dan 7 omvatten ook op afstand exploiteerbare kwetsbaarheden in de ICMPv6- en NFS-handlers in de Solaris-kernel, en lokale problemen in het bestandssysteem en Gnuplot.

Bron: opennet.ru