Alerte

Du serveur à la station, de l’antique Windows 7 et Server 2012R2 aux versions les plus récentes, Microsoft diffuse une giboulée de correctifs, dont deux failles exploitées (CVE-2019-1214 et CVE-2019-1215) et trois ayant fait l’objet de publications préalables (CVE-2019-1253, CVE-2019-1294 et CVE-2019-1235) . Averse assez sérieuse pour motiver un staccato de tweets du Cert-FR, l’inévitable […]

    Les rustines Cisco mériteraient de figurer au palmarès des bonnes pratiques en matière de politique de mot de passe. La dernière en date porte le doux nom de ciscocm.CSCvk30822_v1.0.k3.cop.sgn. Elle affecte le Prime Licence Manager et pourrait offrir le flanc à une attaque en injection SQL.

Un peu moins d’une cinquantaine de défauts (dont 7 « critiques ») corrigés par Microsoft, quelques failles également chez Adobe, mais aucun de ces problèmes n’est activement exploité. Le bulletin Adobe est quasiment anémique. Et cela faisait bien longtemps que le tableau de bord classant les défauts en termes de gravité n’avait pas été aussi […]

Une faille activement exploitée affecte plusieurs versions d’Internet Explorer et a justifié, estime l’équipe sécurité de Microsoft, la publication d’un correctif hors calendrier, quelques jours à peine après le « patch Tuesday » officiel. Sont concernés les utilisateurs d’I.E. 11 sous Windows 7, 10, et Server 2012, 2016 et 2019, ainsi qu’I.E. 9 sur Server […]

La dernière fournée 2018 des correctifs Microsoft est épurée : à peine 38 CVE, dont seulement 9 qualifiés de « critique » par Microsoft et 10 selon le Sans. Citons, par degré d’urgence de déploiement, CVE-2018-8611 qui pourrait autoriser une élévation de privilèges, CVE-2018-8626, un heap overflow dans le serveur DNS (lequel donne des droits […]

Après 4 ans d’existence discrète, une faille affectant libssh 0.8.4 et 0.7.6 vient d’être colmatée. Le problème n’affecte que les serveurs, ce qui provoque une certaine fébrilité dans les rangs de certains éditeurs. Cisco, mais également Red Hat, Suse, Canonical et consorts alertent leurs administrateurs et les poussent à boucher le trou CVE-2018-10933. L’exploitation de […]

Les CPU ne sont pas mensuelles … cela se remarque au premier coup d’œil en parcourant le bulletin trimestriel publié par Oracle. Plus de 300 CVE concernant la quasi-totalité du catalogue, d’Enterprise Manager à MySQL en passant par Fusion, Oracle Database, Java SE, les outils PeopleSoft… En plongeant dans cette avalanche de bouchons, l’on peut […]

50 alertes CVE colmatées, dont un « zero day » ( CVE-2018-8453 ) pouvant concourir à une élévation de droits, et affectant Windows serveur et station depuis la version 7, et un trou ayant déjà fait l’objet d’une publication, CVE-2018-8423. Ce dernier concerne un défaut dans le moteur de base de données Jet, lequel est […]

Une belle collection de failles a été collectée dans les systèmes d’exploitation des équipements sous IOS et IOS XE. Le bulletin publié par l’équipementier classe la quasi-totalité des trous dans la catégorie « critique, à corriger immédiatement ». Et notamment, une possibilité d’accès sans authentification nécessaire dans OSPF v3, un risque de déni de service […]

63 CVE dont 21 jugés critiques, le mardi des rustines a tout de même révélé quelques belles méthodes d’exploitation. Et notamment CVE-2018-8414, qui colmate les usages déviants des fichiers « SettingContents-ms », lesquels servent à exécuter sans demande de confirmation des interfaces de configuration. Le « control panel » par exemple, mais « pas que […]