Compte rendu de la sécurité des bases de données – Février 2018
Nous vous présentons le rapide compte rendu des actualités de la sécurité des bases de données de février.
La violation de l’Equifax plus grave que prévu, désormais 147,9 millions de consommateurs touchés
La société de rapport de crédit a découvert 2,4 millions de consommateurs supplémentaires qui se sont fait voler leurs données personnelles lors de l’infâme violation de 2017.
La direction de l’entreprise indique qu’elle fait toujours tout son possible pour identifier, informer et protéger les consommateurs touchés.
La violation de données a porté un terrible coup à l’image et à la réputation de l’entreprise. La sénatrice Elizabeth Warren a qualifié l’entreprise de peu fiable, affirmant que sa réponse à la violation de données et les actions qui ont suivi étaient insuffisantes.
Le site “Have I been Pwned” a mis à jour les informations sur les données volées
2.844 incidents de violation ont été ajoutés sur le site, pour un total de 80 millions de dossiers volés. Les nouvelles données proviennent d’un forum de hackers nouvellement découvert. La plupart des bases de données découvertes contiennent des adresses de courrier électronique et des mots de passe. Les dates des bases de données vont de 2011 à 2018, ce qui signifie que des informations personnelles et des données sont volées à des gens chaque jour.
Vulnérabilités des bases de données
• DB2CVE-2014-3219 https://nvd.nist.gov/vuln/detail/CVE-2014-3219
Cote de gravité CVSS : 5.9 Description: fish avant 2.1.1 permet aux utilisateurs locaux d’écrire dans des fichiers arbitraires via une attaque par lien symbolique sur (1) /tmp/fishd.log.%s, (2) /tmp/.pac-cache.$USER, (3) /tmp/.yum-cache.$USER, ou (4) /tmp/.rpm-cache.$USER.
• HiveCVE-2014-3005 https://nvd.nist.gov/vuln/detail/CVE-2014-3005
Cote de gravité CVSS : 9.8 Description: vulnérabilité d’entité externe XML (XXE) dans Zabbix 1.8.x avant 1.8.21rc1, 2.0.x avant 2.0.13rc1, 2.2.x avant 2.2.5rc1, et 2.3.x avant 2.3.2 permet aux attaquants distants de lire des fichiers arbitraires ou potentiellement d’exécuter un code arbitraire via un DTD conçu dans une requête XML.
CVE-2014-3244 https://nvd.nist.gov/vuln/detail/CVE-2014-3244
Cote de gravité CVSS : 9.8 Description: La vulnérabilité d’entité externe XML (XXE) dans le dashlet RSSDashlet dans SugarCRM avant 6.5.17 permet aux attaquants distants de lire des fichiers arbitraires ou potentiellement d’exécuter un code arbitraire via un DTD conçu dans une requête XML.CVE-2014-3752 https://nvd.nist.gov/vuln/detail/CVE-2014-3752
Cote de gravité CVSS : 6.7 Description: Le pilote MiniIcpt.sys dans G Data TotalProtection 2014 24.0.2.1 et versions antérieures permet aux utilisateurs locaux ayant des droits d’administrateur d’exécuter du code arbitraire avec les privilèges SYSTEM via un appel conçu 0x83170180.
CVE-2017-17108 https://nvd.nist.gov/vuln/detail/CVE-2017-17108
Description: La vulnérabilité de cheminement de répertoire dans le panneau administratif de la plateforme de commerce électronique KonaKart version 8.7 et versions antérieures pourrait permettre à un attaquant de télécharger des fichiers système, ainsi que de télécharger des fichiers JSP spécialement conçus et d’accéder ainsi au serveur.
CVE-2017-18123 https://nvd.nist.gov/vuln/detail/CVE-2017-18123
Description: Le paramètre d’appel de /lib/exe/ajax.php dans DokuWiki jusqu’à 2017-02-19e ne code pas correctement l’entrée de l’utilisateur, ce qui entraîne une vulnérabilité de téléchargement de fichier réfléchi, et permet aux attaquants distants d’exécuter des programmes arbitraires.
CVE-2016-6813 https://nvd.nist.gov/vuln/detail/CVE-2016-6813
Description: Apache CloudStack 4.1 à 4.8.1.0 et 4.9.0.0 contiennent un appel d’API conçu pour permettre à un utilisateur de s’inscrire à l’API du développeur. Si un utilisateur malveillant parvient à déterminer l’ID d’un autre utilisateur (non “root”) de CloudStack, l’utilisateur malveillant peut être en mesure de réinitialiser les clés API de l’autre utilisateur, accédant ainsi à leur compte et à leurs ressources.
CVE-2017-17663 https://nvd.nist.gov/vuln/detail/CVE-2017-17663
Description: L’implémentation de htpasswd de mini_httpd avant v1.28 et de thttpd avant v2.28 est affectée par un débordement de tampon qui peut être exploité à distance pour exécuter du code.
CVE-2018-1000029 https://nvd.nist.gov/vuln/detail/CVE-2018-1000029
Description: mcholste Enterprise Log Search and Archive (ELSA) version revision 1205, commit 2cc17f1 et versions antérieures contient une vulnérabilité de script intersite (XSS) dans la vue de l’index (/) qui peut entraîner . Cette attaque semble être exploitable via une charge utile livrée via les paramètres de type, de nom et de valeur de /Query/set_preference et les paramètres de nom et de valeur de /Query/preference. Charge utile exécutée lorsque l’utilisateur visite la vue index (/).
CVE-2018-1000035 https://nvd.nist.gov/vuln/detail/CVE-2018-1000035
Cote de gravité CVSS : 7.8 Description: Un débordement de tampon basé sur le tas existe dans Info-Zip UnZip version <= 6.00 lors du traitement des archives protégées par mot de passe qui permet à un attaquant de réaliser un déni de service ou éventuellement d'exécuter du code.
CVE-2018-6892 https://nvd.nist.gov/vuln/detail/CVE-2018-6892
Description: Un problème a été découvert dans CloudMe avant 1.11.0. Un attaquant non authentifié à distance capable de se connecter à l’application client “CloudMe Sync” à l’écoute sur le port 8888 peut envoyer une charge utile malveillante provoquant une condition de débordement de tampon. Cela entraînera une commande de l’attaquant sur le flux d’exécution du programme et permettra l’exécution de code arbitraire.
CVE-2016-5397 https://nvd.nist.gov/vuln/detail/CVE-2016-5397
Description: La bibliothèque client Go Apache Thrift exposait le potentiel lors de la génération de code pour l’injection de commandes en raison de l’utilisation d’un outil de formatage externe. Affecté Apache Thrift 0.9.3 et versions antérieures, corrigé dans Apache Thrift 0.10.0.
CVE-2016-8742 https://nvd.nist.gov/vuln/detail/CVE-2016-8742
Description: L’installateur Windows que l’équipe Apache CouchDB fournit était vulnérable à une élévation de privilèges locale. Tous les fichiers de l’installation héritent des permissions de fichier du répertoire parent et donc un utilisateur non privilégié peut remplacer n’importe quel exécutable par le lanceur de service nssm.exe, ou les fichiers de lots ou binaires de CouchDB. Un redémarrage ultérieur du service ou du serveur exécutera alors ce binaire avec un privilège administrateur. Ce problème a affecté CouchDB 2.0.0 (plate-forme Windows uniquement) et a été résolu dans CouchDB 2.0.0.1.
CVE-2018-1297 https://nvd.nist.gov/vuln/detail/CVE-2018-1297
Description: Lors de l’utilisation du test distribué uniquement (basé sur RMI), Apache JMeter 2.x et 3.x utilise une connexion RMI non sécurisée. Cela pourrait permettre à un attaquant d’accéder à JMeterEngine et d’envoyer un code non autorisé.
CVE-2018-6910 https://nvd.nist.gov/vuln/detail/CVE-2018-6910
Description: DedeCMS 5.7 permet aux attaquants distants de découvrir le chemin complet via une demande directe pour include/downmix.inc.php ou inc/inc_archives_functions.php.
CVE-2018-1287 https://nvd.nist.gov/vuln/detail/CVE-2018-1287
Description: Dans Apache JMeter 2.X et 3.X, lors de l’utilisation du test distribué uniquement (basé sur RMI), le serveur jmeter lie le registre RMI à l’hôte générique. Cela pourrait permettre à un attaquant d’accéder à JMeterEngine et d’envoyer un code non autorisé.
CVE-2018-7034 https://nvd.nist.gov/vuln/detail/CVE-2018-7034
Description: Les appareils TRENDnet TEW-751DR v1.03B03, TEW-752DRU v1.03B01 et TEW733GR v1.03B01 permettent de contourner l’authentification via une valeur AUTHORIZED_GROUP=1, comme le démontre une demande pour getcfg.php.
CVE-2011-4973 https://nvd.nist.gov/vuln/detail/CVE-2011-4973
Description: La vulnérabilité d’usurpation d’authentification dans mod_nss 1.0.8 permet aux attaquants distants d’usurper l’identité d’un utilisateur valide en utilisant leur certificat et en entrant ‘password’ comme mot de passe.
CVE-2018-5975 https://nvd.nist.gov/vuln/detail/CVE-2018-5975
Description: L’injection SQL existe dans le composant Smart Shoutbox 3.0.0 pour Joomla! via le paramètre shoutauthor à l’URI d’archive.
CVE-2018-7216 https://nvd.nist.gov/vuln/detail/CVE-2018-7216
Description: La vulnérabilité de falsification de requête intersite (CSRF) dans esop/toolkit/profile/regData.do dans Bravo Tejari Procurement Portal permet aux utilisateurs distants authentifiés de détourner l’authentification des utilisateurs d’application pour des requêtes qui modifient leurs données personnelles en tirant parti de l’absence de jetons anti-CSRF.
CVE-2018-7219 https://nvd.nist.gov/vuln/detail/CVE-2018-7219
Description: application/admin/controller/Admin.php dans NoneCms 1.3.0 a CSRF, comme le démontre le changement de mot de passe d’un administrateur ou l’ajout d’un compte via une requête public/index.php/admin/admin/edit.html.
CVE-2009-4267 https://nvd.nist.gov/vuln/detail/CVE-2009-4267
Description: La console dans Apache jUDDI 3.0.0 ne gère pas correctement les retours à la ligne, ce qui permet aux utilisateurs authentifiés à distance de falsifier les entrées de journal via le paramètre numRows.
CVE-2018-6940 https://nvd.nist.gov/vuln/detail/CVE-2018-6940
Description: Un problème /shell?cmd= XSS existe dans le composant HTTPD des appareils NAT32 v2.2 Build 22284 qui peut être exploité pour l’exécution de code à distance en conjonction avec CSRF.
CVE-2018-7046 https://nvd.nist.gov/vuln/detail/CVE-2018-7046
Description: ** DISPUTÉE ** La vulnérabilité d’exécution de code arbitraire dans Kentico 9 à 11 permet aux utilisateurs authentifiés à distance d’exécuter des commandes arbitraires du système d’exploitation dans un contexte d’évaluation de code .NET dynamique via un code C# dans une boîte “Pages -> Edit -> Template -> Edit template properties -> Layout”. NOTE : le fournisseur a répondu qu’il y avait une fonctionnalité prévue pour les utilisateurs autorisés à modifier et mettre à jour la disposition du code ascx.
CVE-2018-7205 https://nvd.nist.gov/vuln/detail/CVE-2018-7205
Description: ** DISPUTÉE ** La vulnérabilité de Cross-Site Scripting réfléchie dans “Design” sur “Edit device layout” dans Kentico 9 à 11 permet aux attaquants distants d’exécuter du JavaScript malveillant via un paramètre de nom de dispositif malveillant dans un lien qui est entré via les écrans “Pages -> Edit template properties -> Device Layouts -> Create device layout (et edit created device layout) -> Design”. NOTE : le fournisseur a répondu qu’il y avait une fonctionnalité prévue pour les utilisateurs autorisés à modifier et mettre à jour la disposition du code ascx.
CVE-2013-0267 https://nvd.nist.gov/vuln/detail/CVE-2013-0267
Description: La partie Privilèges de l’interface graphique du web et l’API XMLRPC dans Apache VCL 2.3.x avant 2.3.2, 2.2.x avant 2.2.2 et 2.1 permettent aux utilisateurs authentifiés à distance ayant les autorisations nodeAdmin, manageGroup, resourceGrant, ou userGrant d’obtenir des privilèges, de provoquer un déni de service, ou de réaliser des attaques par script intersite (XSS) en tirant parti d’une validation de données incorrecte.
CVE-2018-7261 https://nvd.nist.gov/vuln/detail/CVE-2018-7261
Description: Il y a plusieurs vulnérabilités de XSS persistant dans Radiant CMS 1.1.4. Elles touchent les préférences personnelles (Nom et Nom d’utilisateur) et la configuration (Titre du site, Domaine du site de développement, Parties de la page, et Champs de la page).
CVE-2018-6764 https://nvd.nist.gov/vuln/detail/CVE-2018-6764
Description: util/virlog.c dans libvirt ne détermine pas correctement le nom de l’hôte au démarrage d’un conteneur LXC, ce qui permet aux utilisateurs du système d’exploitation invité de contourner un mécanisme de protection de conteneur prévu et d’exécuter des commandes arbitraires via un module NSS conçu.
CVE-2018-7476 https://nvd.nist.gov/vuln/detail/CVE-2018-7476
Description: controllers/admin/Linkage.php dans dayrui FineCms 5.3.0 a Cross Site Scripting (XSS) via le paramètre id ou lid dans une demande c=linkage,m=import à admin.php, car le mécanisme de protection xss_clean est contourné par une entrée conçue qui manque d’un caractère ‘<‘ ou ‘>’.
CVE-2018-7484 https://nvd.nist.gov/vuln/detail/CVE-2018-7484
Description: Un problème a été découvert dans PureVPN jusqu’à 5.19.4.0 sur Windows. L’installation du client accorde au groupe Tous les droits de Contrôle total sur le répertoire d’installation. De plus, le service PureVPNService.exe, qui fonctionne sous les privilèges NT Authority\SYSTEM, essaie de charger plusieurs bibliothèques de liens dynamiques en utilisant des chemins relatifs au lieu du chemin absolu. Lorsqu’il n’utilise pas un chemin complètement qualifié, l’application essaiera d’abord de charger la bibliothèque à partir du répertoire à partir duquel l’application est lancée. Comme le répertoire de PureVPNService.exe est accessible en écriture à tous les utilisateurs, cela rend l’application susceptible à l’élévation de privilège par détournement de DLL.
CVE-2018-7172 https://nvd.nist.gov/vuln/detail/CVE-2018-7172
Description: Dans index.php dans WonderCMS 2.4.0, les attaquants distants peuvent supprimer des fichiers arbitraires via une traversée de répertoire.
CVE-2015-3898 https://nvd.nist.gov/vuln/detail/CVE-2015-3898
Description: De multiples vulnérabilités de redirection ouverte dans Bonita BPM Portal avant 6.5.3 permettent aux attaquants distants de rediriger les utilisateurs vers des sites web arbitraires et d’effectuer des attaques de phishing via des vecteurs impliquant le paramètre redirectUrl to (1) bonita/login.jsp ou (2) bonita/loginservice.
CVE-2015-5079 https://nvd.nist.gov/vuln/detail/CVE-2015-5079
Description: La vulnérabilité de la traversée de répertoire dans widgets/logs.php dans BlackCat CMS avant 1.1.2 permet aux attaquants distants de lire des fichiers arbitraires via un .. (dot dot) dans le paramètre dl.
• MongoDBCVE-2015-4412 https://nvd.nist.gov/vuln/detail/CVE-2015-4412
Description: La vulnérabilité d’injection BSON dans la fonction legal? de la gem BSON (bson-ruby) avant 3.0.4 pour Ruby permet aux attaquants distants de provoquer un déni de service (consommation de ressources) ou d’injecter des données arbitraires via une string conçue.
• MySQLCVE-2018-6521 https://nvd.nist.gov/vuln/detail/CVE-2018-6521
Cote de gravité CVSS : 9.8 Description: L’implémentation sqlauth dans SimpleSAMLphp avant 1.15.2 repose sur le jeu de caractères utf8 de MySQL, qui tronque les requêtes lors de la rencontre de caractères de quatre octets. Il pourrait y avoir un scénario dans lequel cela permet aux attaquants distants de contourner les restrictions d’accès prévues.
CVE-2018-7251 https://nvd.nist.gov/vuln/detail/CVE-2018-7251
Description: Un problème a été découvert dans config/error.php dans Anchor 0.12.3. Le journal des erreurs est exposé à une URI errors.log, et contient les identifiants MySQL si une erreur MySQL (comme “Too many connections”) s’est produite.
• OracleCVE-2018-5762 https://nvd.nist.gov/vuln/detail/CVE-2018-5762
Description: L’implémentation TLS dans le module de mise en réseau TCP/IP dans les systèmes Unisys ClearPath MCP avec TCP-IP-SW 58.1 avant 58.160, 59.1 avant 059.1a.17 (IC #17), et 60.0 avant 60.044 pourrait permettre aux attaquants distants de déchiffrer des données chiffrées TLS en exploitant un oracle de remplissage RSA Bleichenbacher, alias une attaque ROBOT.
• PostgreSQLCVE-2018-1052 https://nvd.nist.gov/vuln/detail/CVE-2018-1052
Description: Une vulnérabilité de divulgation de mémoire dans la partition de table a été trouvée dans postgresql 10.x avant 10.2, permettant à un attaquant authentifié de lire des octets arbitraires de la mémoire du serveur via une insertion conçue dans une table partitionnée.
CVE-2018-1053 https://nvd.nist.gov/vuln/detail/CVE-2018-1053
Description: Dans postgresql 9.3.x avant 9.3.21, 9.4.x avant 9.4.16, 9.5.x avant 9.5.11, 9.6.x avant 9.6.7 et 10.x avant 10.2, pg_upgrade crée un fichier dans le répertoire de travail actuel contenant la sortie de `pg_dumpall -g` sous umask qui était en vigueur lorsque l’utilisateur a invoqué pg_upgrade, et non sous 0077 qui est normalement utilisé pour d’autres fichiers temporaires. Cela peut permettre à un attaquant authentifié de lire ou de modifier le seul fichier, qui peut contenir des mots de passe de base de données cryptés ou non cryptés. L’attaque est irréalisable si un mode de répertoire bloque l’attaquant recherchant le répertoire de travail actuel ou si l’umask courant bloque l’attaquant ouvrant le fichier.
• SAP HANACVE-2018-2369 https://nvd.nist.gov/vuln/detail/CVE-2018-2369
Description: Dans certaines circonstances, SAP HANA, 1.00, 2.00, permet à un attaquant non authentifié d’accéder à des informations qui seraient autrement restreintes. Un attaquant peut abuser de la fonction d’authentification du serveur SAP HANA sur son interface SQL et révéler 8 octets de la mémoire du processus serveur. L’attaquant ne peut ni influencer ni prédire l’emplacement de la mémoire divulguée.
CVE-2018-2372 https://nvd.nist.gov/vuln/detail/CVE-2018-2372
Description: Un mot de passe de keystoresimple est écrit dans un fichier de log système dans SAP HANA Extended Application Services, 1.0, ce qui pourrait mettre en danger la confidentialité de la communication SSL.
CVE-2018-2373 https://nvd.nist.gov/vuln/detail/CVE-2018-2373
Description: Dans certaines circonstances, une extrémité spécifique de l’API du contrôleur pourrait être mal utilisée par des utilisateurs non authentifiés pour exécuter des instructions SQL qui fournissent des informations sur la configuration du système dans SAP HANA Extended Application Services, 1.0.
CVE-2018-2374 https://nvd.nist.gov/vuln/detail/CVE-2018-2374
Cote de gravité CVSS : 6.5 Description: Dans SAP HANA Extended Application Services, 1.0, un utilisateur du contrôleur qui a l’autorisation SpaceAuditor dans un espace spécifique pourrait récupérer des données d’application sensibles comme les bindings de service dans cet espace.
CVE-2018-2375 https://nvd.nist.gov/vuln/detail/CVE-2018-2375
Cote de gravité CVSS : 8.1 Description: Dans SAP HANA Extended Application Services, 1.0, un utilisateur du contrôleur qui a l’autorisation SpaceAuditor dans un espace spécifique pourrait récupérer des environnements d’application dans cet espace.
CVE-2018-2376 https://nvd.nist.gov/vuln/detail/CVE-2018-2376
Cote de gravité CVSS : 8.1 Description: Dans SAP HANA Extended Application Services, 1.0, un utilisateur du contrôleur qui a l’autorisation SpaceAuditor dans un espace spécifique pourrait récupérer des environnements d’application dans cet espace.
CVE-2018-2377 https://nvd.nist.gov/vuln/detail/CVE-2018-2377
Cote de gravité CVSS : 6.5 Description: Dans SAP HANA Extended Application Services, 1.0, certaines statistiques générales du serveur et les informations de statut pourraient être récupérées par des utilisateurs non autorisés.
CVE-2018-2378 https://nvd.nist.gov/vuln/detail/CVE-2018-2378
Cote de gravité CVSS : 6.5 Description: Dans SAP HANA Extended Application Services, 1.0, les utilisateurs non autorisés peuvent lire des données statistiques sur les applications déployées, y compris la consommation de ressources.
CVE-2018-2379 https://nvd.nist.gov/vuln/detail/CVE-2018-2379
Cote de gravité CVSS : 6.5 Description: Dans SAP HANA Extended Application Services, 1.0, un utilisateur non authentifié pourrait tester si un nom d’utilisateur donné est valide en évaluant les messages d’erreur d’une extrémité spécifique.
• VerticaCVE-2017-5802 https://nvd.nist.gov/vuln/detail/CVE-2017-5802
Description: Une vulnérabilité d’accès privilégié à distance dans HPE Vertica Analytics Platform version v4.1 et versions ultérieures a été trouvée.
