PUBLIÉES EN

novembre 2017

154 CVE, des plus récentes aux plus anciennes.

← octobre 2017 décembre 2017 →

CVE-2017-16896La version 17.4 de Tiny Tiny RSS est affectée par une faille d'injection SQL dans la fonctionnalité « mot de passe oublié ». Un attaquant distant non authentifié peut l'exploiter v… 9.8 CRITIQUE

CVE-2017-11402Les appliances de sécurité Belden Hirschmann Tofino Xenon exécutant des versions antérieures à la 03.2.00 sont concernées. Un attaquant peut contourner le pare-feu en envoyant une … 9.8 CRITIQUE

CVE-2017-11401Les appliances de sécurité Belden Hirschmann Tofino Xenon exécutant des versions antérieures à 03.2.00 sont affectées par une faille dans leur manière de filtrer le trafic ModBus. … 9.8 CRITIQUE

CVE-2017-16566Les appareils Jooan IP Camera A5 (version 2.3.36) sont affectés par un serveur FTP non sécurisé qui ne requiert pas de mot de passe. Un attaquant distant ayant accès au réseau peut… 9.8 CRITIQUE

CVE-2017-1000190Les applications PHP utilisant la bibliothèque SimpleXML pour analyser des données XML sont vulnérables à l'injection d'entités externes. Un attaquant distant non authentifié peut … 9.1 CRITIQUE

CVE-2017-16845Les machines virtuelles QEMU sont affectées par une erreur d'accès mémoire hors limites qui survient lors de la migration d'invités. Un attaquant distant peut exploiter cette faill… 10.0 CRITIQUE

CVE-2017-1000215Les versions 4.6.0 et antérieures de ROOT xrootd sont vulnérables à une faille d'injection de commandes shell. Un attaquant disposant d'un accès réseau peut exécuter du code arbitr… 9.8 CRITIQUE

CVE-2017-1000169Les versions 0.7.2 et antérieures de QuickerBB sont affectées par une faille qui permet à un attaquant d'écrire des fichiers arbitraires sur le serveur. En téléchargeant un script … 9.8 CRITIQUE

CVE-2017-1000192La version 2.1.7 et les versions antérieures de Cygnux sysPass sont affectées par une faille dans la manière dont le logiciel gère l'inclusion de fichiers JavaScript. Un attaquant … 9.8 CRITIQUE

CVE-2017-1000212Les utilisateurs du plugin `alchemist.vim` pour Elixir sont exposés à un risque car le serveur intégré évalue les requêtes entrantes comme du code. Un attaquant distant non authent… 9.8 CRITIQUE

CVE-2017-1000206La bibliothèque htslib (version 1.4.0 et antérieures), utilisée par samtools pour le traitement de données génomiques, contient une faille de dépassement de tampon dans son codec r… 9.8 CRITIQUE

CVE-2017-16872PJSIP (pjlib et pjlib-util) avant la version 2.7.1 est affecté par un dépassement d'entier lors de l'analyse des en-têtes numériques des messages SIP. Un attaquant distant et non a… 9.8 CRITIQUE

CVE-2017-1000158Les versions de Python allant jusqu'à la 2.7.13 sont affectées par une faille de corruption de mémoire lors du traitement de chaînes de caractères spécialement conçues. Un attaquan… 9.8 CRITIQUE

CVE-2017-1000248Les versions 1.3.0 et antérieures de Redis-store sont affectées par une faille qui permet le chargement d'objets non sécurisés depuis une base de données Redis. Un attaquant distan… 9.8 CRITIQUE

CVE-2017-1000237Les versions 4.6 et 4.7 d'I, Librarian sont affectées par une faille qui permet à un attaquant d'envoyer des requêtes forgées du serveur vers lui-même. Un attaquant distant peut ex… 9.8 CRITIQUE

CVE-2017-1000235Les versions 4.6 et 4.7 d'I, Librarian sont affectées par une faille dans le fichier `batchimport.php`. Un attaquant peut envoyer une requête spécialement conçue via le réseau pour… 9.8 CRITIQUE

CVE-2017-1000232touche les systèmes utilisant la bibliothèque DNS `ldns` version 1.7.0. Un attaquant distant et non authentifié peut envoyer une réponse DNS spécialement conçue pour provoquer une … 9.8 CRITIQUE

CVE-2017-1000231Les systèmes utilisant la version 1.7.0 de la bibliothèque DNS ldns sont sensibles à une erreur de corruption de mémoire lors de l'analyse des paquets DNS. Un attaquant distant et … 9.8 CRITIQUE

CVE-2017-1000228Les applications Node.js utilisant des versions d'EJS antérieures à la 2.5.3 sont vulnérables à l'exécution de code à distance via la fonction `renderFile()`. Un attaquant peut exé… 9.8 CRITIQUE

CVE-2017-1000173La version 1.0 de Creolabs Gravity est affectée par une faille de corruption de mémoire qui permet à un attaquant d'exécuter du code arbitraire sur le serveur. Comme il s'agit d'un… 9.8 CRITIQUE

CVE-2017-1000172Le langage de programmation Gravity (version 1.0) est affecté par une faille de gestion de la mémoire pouvant mener à l'exécution de code arbitraire. Un attaquant peut exploiter ce… 9.8 CRITIQUE

CVE-2017-1000197October CMS (build 412) présente une faille dans sa fonctionnalité de déplacement d'actifs qui permet à un attaquant d'écrire des fichiers arbitraires sur le serveur. Un attaquant … 9.8 CRITIQUE

CVE-2017-1000196October CMS (build 412) est affecté par une faille dans son gestionnaire d'actifs qui permet à un attaquant d'exécuter du code PHP arbitraire sur le serveur. Un attaquant distant p… 9.8 CRITIQUE

CVE-2017-1000194October CMS (version 412) permet à un attaquant distant non authentifié de téléverser un fichier malveillant modifiant la configuration Apache du serveur. En exploitant cette faill… 9.8 CRITIQUE

CVE-2017-1000220La bibliothèque Node.js `pidusage` (version 1.1.4 et antérieures) est vulnérable à l'injection de commandes. Un attaquant disposant d'un accès réseau peut exécuter des commandes ar… 9.8 CRITIQUE

CVE-2017-1000210Les versions 1.5.0 à 1.7.0 de picoTCP sont affectées par un dépassement de tampon de pile (stack buffer overflow). Un attaquant distant peut exploiter cette faille en envoyant des … 9.8 CRITIQUE

CVE-2017-1000219Tout système Windows utilisant le package npm `windows-cpu` est affecté par une faille d'injection de commande. Un attaquant non authentifié disposant d'un accès réseau peut exécut… 9.8 CRITIQUE

CVE-2017-1000218La version 1.1 de LightFTP est sensible à un dépassement de tampon lors du traitement des entrées de journal. Un attaquant peut exploiter cette faille via le réseau, sans avoir bes… 9.8 CRITIQUE

CVE-2017-0854Les appareils Android utilisant les versions 7.0 à 8.0 sont affectés par une faille dans le framework multimédia du système. Un attaquant distant peut exploiter cette vulnérabilité… 9.1 CRITIQUE

CVE-2017-0853Les appareils Android utilisant les versions 7.0 à 8.0 sont affectés par une faille dans le framework multimédia du système. Un attaquant distant peut exploiter cette vulnérabilité… 9.1 CRITIQUE

CVE-2017-0847Les appareils équipés d'Android 8.0 sont affectés par une faille dans le composant d'analyse du framework multimédia. Un attaquant distant peut exploiter cette vulnérabilité pour e… 9.8 CRITIQUE

CVE-2017-0909Les applications Ruby utilisant la gem `private_address_check` (versions antérieures à 0.4.1) sont vulnérables aux falsifications de requêtes côté serveur (SSRF). Un attaquant dist… 9.8 CRITIQUE

CVE-2017-16851Zoho ManageEngine Applications Manager (versions antérieures au build 13530) est vulnérable à une faille d'injection SQL au niveau du point de terminaison `/MyPage.do`. Un attaquan… 9.8 CRITIQUE

CVE-2017-16850Zoho ManageEngine Applications Manager (versions antérieures au build 13530) est sensible à une faille d'injection SQL dans le point de terminaison `/showresource.do`. Un attaquant… 9.8 CRITIQUE

CVE-2017-16849Zoho ManageEngine Applications Manager (versions antérieures à la build 13530) est susceptible d'être affecté par une faille d'injection SQL dans la page de visualisation du tablea… 9.8 CRITIQUE

CVE-2017-16848Zoho ManageEngine Applications Manager 13 est affecté par une faille d'injection SQL dans le paramètre `groupname`. Un attaquant non authentifié disposant d'un accès réseau peut ex… 9.8 CRITIQUE

CVE-2017-16847Zoho ManageEngine Applications Manager (versions antérieures au build 13530) est vulnérable à une faille d'injection SQL. Un attaquant non authentifié disposant d'un accès réseau p… 9.8 CRITIQUE

CVE-2017-16846Zoho ManageEngine Applications Manager (versions antérieures à la build 13530) est affecté par une faille d'injection SQL dans son interface de gestion d'applications. Un attaquant… 9.8 CRITIQUE

CVE-2017-16844Procmail 3.22 est affecté par une erreur de gestion de la mémoire lors du traitement de certains messages électroniques. Un attaquant distant peut déclencher cette faille en envoya… 9.8 CRITIQUE

CVE-2017-5738Les versions 3.1.32.12, 3.1.41.18 et 3.1.45.26 de l'application Intel Unite sont concernées par une faille dans leur portail d'administration. Un attaquant ayant un accès réseau pe… 9.1 CRITIQUE

CVE-2017-12337Les produits de collaboration Cisco utilisant le Voice Operating System sont concernés s'ils ont fait l'objet d'un type spécifique de mise à jour de rafraîchissement ou de migratio… 9.8 CRITIQUE

CVE-2017-8807Les versions 4.1.x (antérieures à 4.1.9) et 5.x (antérieures à 5.2.1) de Varnish HTTP Cache sont affectées par une erreur de gestion de la mémoire. Un attaquant distant et non auth… 9.1 CRITIQUE

CVE-2017-5533TIBCO JasperReports Server (version 6.4.0) présente une faille dans le cache de contenu de son serveur qui permet à un attaquant d'accéder à n'importe quel fichier de l'application… 9.3 CRITIQUE

CVE-2017-12634Apache Camel (versions 2.x antérieures à 2.19.4 et 2.20.x antérieures à 2.20.1) utilisant le composant `camel-castor` est susceptible de présenter une faille de désérialisation non… 9.8 CRITIQUE

CVE-2017-12633Les versions 2.x d'Apache Camel (antérieures aux versions 2.19.4 et 2.20.1) utilisant le composant camel-hessian sont vulnérables à une désérialisation non sécurisée d'objets Java.… 9.8 CRITIQUE

CVE-2017-8809Les installations de MediaWiki utilisant des versions affectées de `api.php` sont vulnérables à une faille de téléchargement de fichier réfléchi. Un attaquant distant peut tromper … 9.8 CRITIQUE

CVE-2017-12739Les RTU Siemens SICAM utilisant certaines variantes du firmware du module COM SM-2556 sont affectées via leur serveur web intégré. Un attaquant ayant un accès réseau au port 80 peu… 9.8 CRITIQUE

CVE-2017-10272Les systèmes Oracle Fusion Middleware utilisant le composant Oracle Tuxedo sont concernés. Un attaquant disposant d'identifiants à faibles privilèges et d'un accès réseau peut util… 9.9 CRITIQUE

CVE-2017-10269Les utilisateurs d'Oracle Fusion Middleware utilisant des versions affectées du composant Oracle Tuxedo sont exposés à un risque. Un attaquant non authentifié disposant d'un accès … 10.0 CRITIQUE

CVE-2017-3891Les systèmes utilisant QNX SDP 6.6.0 avec QNet activé sur des réseaux de deux nœuds ou plus sont concernés. Un attaquant ayant accédé à un nœud QNX secondaire sur le même réseau pe… 9.6 CRITIQUE