Suivi KEV › Oracle

CVE-2012-4681 Oracle Java SE : vulnérabilité d'exécution de code arbitraire

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 mars 2022.

  • Produit : Oracle Java SE
  • Ajoutée au catalogue : 3 mars 2022
  • Échéance CISA : 24 mars 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : Java

Le composant environnement d'exécution Java (JRE) dans Oracle Java SE permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 98,5 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • jdk : 41 versions, de 1.6.0 à 1.7.0-update6
  • jre : 40 versions, de 1.6.0 à 1.7.0-update6
  • enterprise linux desktop : version 6.0
  • enterprise linux eus : version 6.3
  • enterprise linux server : version 6.0
  • enterprise linux workstation : version 6.0

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Contrôle d'accès inapproprié (CWE-284) : Le produit ne restreint pas ou restreint incorrectement l'accès à une ressource par un acteur non autorisé.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Oracle Java SE Runtime Environment (JRE) Arbitrary Code Execution Vulnerability

The Java Runtime Environment (JRE) component in Oracle Java SE allow for remote code execution.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Oracle Java SE

  • CVE-2013-2465 — Oracle Java SE : vulnérabilité non spécifiée (28 mars 2022)
  • CVE-2012-5076 — Oracle Java SE : contournement du sandbox (28 mars 2022)
  • CVE-2015-4902 — Oracle Java SE : vulnérabilité de vérification d'intégrité (3 mars 2022)
  • CVE-2015-2590 — Oracle Java SE : exécution de code à distance (3 mars 2022)
  • CVE-2012-1723 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)
  • CVE-2012-0507 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)

← Toutes les failles Oracle · Suivi KEV