Suivi KEV › Oracle

CVE-2012-0507 Oracle Java SE : vulnérabilité d'exécution de code arbitraire

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 mars 2022.

  • Produit : Oracle Java SE
  • Ajoutée au catalogue : 3 mars 2022
  • Échéance CISA : 24 mars 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 98 %
  • Technologie : Java

Une vulnérabilité de confusion de types existe dans le composant Concurrency de l'environnement d'exécution Java d'Oracle, permettant à un attaquant d'exécuter du code arbitraire à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 98,2 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • jre : 63 versions, de 1.5.0 à 1.7.0-update2
  • debian linux : 2 versions, de 6.0 à 7.0
  • linux enterprise desktop : version 10-sp4
  • linux enterprise java : 2 versions, de 10-sp4 à 11-sp1
  • linux enterprise server : 3 versions, de 10-sp4 à 11-sp2
  • linux enterprise software development kit : 2 versions, de 11-sp1 à 11-sp2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Accès de ressource avec type incompatible (CWE-843) : Le produit alloue ou initialise une ressource telle qu'un pointeur, un objet ou une variable avec un type, mais y accède ultérieurement avec un type incompatible avec le type initial.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Oracle Java SE Runtime Environment (JRE) Arbitrary Code Execution Vulnerability

An incorrect type vulnerability exists in the Concurrency component of Oracle's Java Runtime Environment allows an attacker to remotely execute arbitrary code.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Oracle Java SE

  • CVE-2013-2465 — Oracle Java SE : vulnérabilité non spécifiée (28 mars 2022)
  • CVE-2012-5076 — Oracle Java SE : contournement du sandbox (28 mars 2022)
  • CVE-2015-4902 — Oracle Java SE : vulnérabilité de vérification d'intégrité (3 mars 2022)
  • CVE-2015-2590 — Oracle Java SE : exécution de code à distance (3 mars 2022)
  • CVE-2012-4681 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)
  • CVE-2012-1723 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)

← Toutes les failles Oracle · Suivi KEV