Suivi KEV › Oracle

CVE-2012-1723 Oracle Java SE : vulnérabilité d'exécution de code arbitraire

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 mars 2022.

  • Produit : Oracle Java SE
  • Ajoutée au catalogue : 3 mars 2022
  • Échéance CISA : 24 mars 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %
  • Technologie : Java

Une vulnérabilité non spécifiée dans le composant de l'environnement d'exécution Java (JRE) d'Oracle Java SE permet à des attaquants distants d'affecter la confidentialité, l'intégrité et la disponibilité via des vecteurs inconnus liés à Hotspot.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 93,6 %, parmi les 0,2 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • jdk : versions ≤ 1.4.2_37
  • jre : versions ≤ 1.4.2_37
  • icedtea6 : versions < 1.10.8
  • icedtea6 : versions ≥ 1.11.0 et < 1.11.3
  • jdk : 63 versions, de 1.5.0 à 1.7.0-update4
  • jre : 61 versions, de 1.5.0 à 1.7.0-update4
  • enterprise linux desktop : 2 versions, de 5.0 à 6.0
  • enterprise linux eus : version 6.2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Contrôle d'accès inapproprié (CWE-284) : Le produit ne restreint pas ou restreint incorrectement l'accès à une ressource par un acteur non autorisé.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Oracle Java SE Runtime Environment (JRE) Arbitrary Code Execution Vulnerability

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE allows remote attackers to affect confidentiality, integrity, and availability via Unknown vectors related to Hotspot.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Oracle Java SE

  • CVE-2013-2465 — Oracle Java SE : vulnérabilité non spécifiée (28 mars 2022)
  • CVE-2012-5076 — Oracle Java SE : contournement du sandbox (28 mars 2022)
  • CVE-2015-4902 — Oracle Java SE : vulnérabilité de vérification d'intégrité (3 mars 2022)
  • CVE-2015-2590 — Oracle Java SE : exécution de code à distance (3 mars 2022)
  • CVE-2012-4681 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)
  • CVE-2012-0507 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)

← Toutes les failles Oracle · Suivi KEV