Vulnerabilidad en Xen x86 (desbordamiento) y actualizaciones críticas de Oracle

Vulnerabilidad en Xen x86 (desbordamiento) y actualizaciones críticas de Oracle

Vulnerabilidad en Xen x86 (desbordamiento) y actualizaciones críticas de Oracle

Vulnerabilidad de desbordamiento o fallo de memoria en Xen x86

Xen_project_logo.svg

Vulnerabilidades

 

Sistemas afectados
Los sistemas afectados por esta vulnerabilidad son:

  • Versiones de Xen desde la 3.4 en adelante.
  • Sólo se ven afectadas las plataformas x86.
  • Las plataformas ARM no se ven afectadas.
Descripción
Xen Project ha publicado parches para una vulnerabilidad de desbordamiento o fallo de memoria en sus plataformas x86 cuando se utiliza código pagetable oculto.
Solución
Xen ha publicado los parches a las diferentes versiones para corregir esta vulnerabilidad, estos parches pueden consultarse en los siguientes enlaces:

Detalle
La vulnerabilidad afecta tanto a invitados HVM (Hardware Virtual Machine) como a PV (paravirtualization).

En el caso de HVM el fallo causa un fallo del host, mientras que en el caso de PV ademas de causar fallo en el host puede causar una corrupción de memoria en el hipervisor.

El fallo en particular se produce en el código pagetable oculto en plataformas x86 a través de una referencia a NULL

Referencias
Divisor
Actualizaciones críticas en Oracle (Abril 2016)
Fecha de publicación:2016-04-20 10:58:00
Gravedad:crítica
Sistemas afectados
Las familias de productos afectados es la siguiente:

  • Oracle Database
  • Oracle Fusion Middleware
  • Oracle Fusion Applications
  • Oracle Enterprise Manager
  • Oracle Applications – E-Business Suite
  • Oracle Applications – Oracle Supply Chain, PeopleSoft Enterprise, JD Edwards and Siebel
  • Oracle Communications Applications Suite
  • Oracle Retail Applications Suite
  • Oracle Health Sciences Applications Suite
  • Oracle Financial Services Softwares Suite
  • Oracle Java SE
  • Oracle and Sun Systems Products Suite
  • Oracle Linux and Virtualization Products
  • Oracle MySQL
  • Oracle Berkeley DB

Para detalles sobre el producto y versión concreta, visitar el enlace proporcionado en la sección “Referencias”.

Descripción
Oracle ha publicado una actualización crítica con parches para corregir 136 vulnerabilidades que afectan a múltiples productos.
Solución
Aplicar los parches correspondientes según el/los productos afectados. La información para descargar las actualizaciones puede obtenerse del boletín de seguridad publicado por Oracle y cuyo enlace se proporciona en la sección “Referencias” de este mismo aviso.
Detalle
Los productos afectados son:

  • Oracle Database Server, versión 11.2.0.4, 12.1.0.1, 12.1.0.2
  • Oracle API Gateway, versión 11.1.2.3.0, 11.1.2.4.0
  • Oracle BI Publisher, versión 12.2.1.0.0
  • Oracle Business Intelligence Enterprise Edition, versión 11.1.1.7.0, 11.1.1.9.0, 12.2.1.0.0
  • Oracle Exalogic Infrastructure, versión 1.0, 2.0
  • Oracle GlassFish Server, versión 2.1.1
  • Oracle HTTP Server, versión 12.1.2.0, 12.1.3.0
  • Oracle iPlanet Web Proxy Server, versión 4.0
  • Oracle iPlanet Web Server, versión 7.0
  • Oracle OpenSSO, versión 3.0-0.7
  • Oracle Outside In Technology, versión 8.5.0, 8.5.1, 8.5.2
  • Oracle Traffic Director, versión 11.1.1.7.0, 11.1.1.9.0
  • Oracle Tuxedo, versión 12.1.1.0
  • Oracle WebCenter Sites, versión 11.1.1.8.0, 12.2.1
  • Oracle WebLogic Server, versión 10.3.6, 12.1.2, 12.1.3, 12.2.1
  • Oracle Application Testing Suite, versión 12.4.0.2, 12.5.0.2
  • OSS Support Tools Oracle Explorer, versión 8.11.16.3.8
  • Oracle E-Business Suite, versión 12.1.1, 12.1.2, 12.1.3, 12.2.3, 12.2.4, 12.2.5
  • Oracle Agile Engineering Data Management, versión 6.1.3.0, 6.2.0.0
  • Oracle Agile PLM, versión 9.3.1.1, 9.3.1.2, 9.3.2, 9.3.3
  • Oracle Complex Maintenance, Repair, and Overhaul, versión 12.1.1, 12.1.2, 12.1.3
  • Oracle Configurator, versión 12.1, 12.2
  • Oracle Transportation Management, versión 6.1, 6.2
  • PeopleSoft Enterprise HCM, versión 9.1, 9.2
  • PeopleSoft Enterprise HCM ePerformance, versión 9.2
  • PeopleSoft Enterprise PeopleTools, versión 8, 8.53, 8.54, 8.55, 54
  • PeopleSoft Enterprise SCM, versión 9.1, 9.2
  • JD Edwards EnterpriseOne Tools, versión 9.1, 9.2
  • Siebel Applications, versión 8.1.1, 8.2.2
  • Oracle Communications User Data Repository, versión 10.0.1
  • Oracle Retail MICROS ARS POS, versión 1.5
  • Oracle Retail MICROS C2, versión 9.89.0.0
  • Oracle Retail Xstore Point of Service, versión 5.0, 5.5, 6.0, 6.5, 7.0, 7.1
  • Oracle Life Sciences Data Hub, versión 2.1
  • Oracle FLEXCUBE Direct Banking, versión 12.0.2, 12.0.3
  • Oracle Java SE, versión 6u113, 7u99, 8u77
  • Oracle Java SE Embedded, versión 8u77
  • Oracle JRockit, versión R28.3.9
  • Fujitsu M10-1, M10-4, M10-4S Servers, versiones anteriores aXCP 2290
  • Oracle Ethernet Switch ES2-72, Oracle Ethernet Switch ES2-64, versiones anteriores a a2.0.0.6
  • Solaris, versión 10, 11.3
  • Solaris Cluster, versión 4.2
  • SPARC Enterprise M3000, M4000, M5000, M8000, M9000 Servers, versiones anteriores a aXCP 1121
  • Sun Storage Common Array Manager, versión 6.9.0
  • Oracle VM VirtualBox, versiones anteriores a a4.3.36, a5.0.18
  • Sun Ray Software, versión 11.1
  • MySQL Enterprise Monitor, versión 3.0.25 y anteriores, 3.1.2 y anteriores
  • MySQL Server, versión 5.5.48 y anteriores, 5.6.29 y anteriores, 5.7.11 y anteriores
  • Oracle Berkeley DB, versión 11.2.5.0.32, 11.2.5.1.29, 11.2.5.2.42, 11.2.5.3.28, 12.1.6.0.35, 12.1.6.1.26

Para ampliar detalles sobre el producto y vulnerabilidad concreta, visitar el enlace proporcionado en la sección “Referencias”.

Referencias
Divisor
Múltiples vulnerabilidades en Symantec Messaging Gateway Appliance
Fecha de publicación:2016-04-20 11:36:00
Gravedad:alta
Sistemas afectados
Todas las versiones anteriores a la 10.6.1
Descripción
Symantec ha publicado dos vulnerabilidades de escalada de privilegios que afectan a la consola de administración del SMG.
Solución
Actualizar a la versión 10.6.1 del SMG.
Detalle
Un usuario autorizado de la consola de administración de la SMG, con al menos acceso de lectura, podría encontrar y descifrar las contraseñas almacenadas en el SMG. La obtención de estas contraseñas podría permitir el acceso con mayores privilegios a recursos adicionales de la red.

Adicionalmente, un usuario autorizado de la consola con nivel de administrador o soporte, podría a través de entrada de código en la terminal, acceder a una shell con privilegios de root en la consola.

Referencias

Fuente:incibe.es

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *