Suivi KEV › Oracle

CVE-2013-0422 Oracle JRE : vulnérabilité d'exécution de code à distance

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 25 mai 2022.

  • Produit : Oracle Java Runtime Environment (JRE)
  • Ajoutée au catalogue : 25 mai 2022
  • Échéance CISA : 15 juin 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-264
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 97 %
  • Technologie : Java

Une vulnérabilité dans la manière dont java restreint les permissions des applets java pourrait permettre à un attaquant d'exécuter des commandes sur un système vulnérable.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 97,1 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • jdk : 10 versions, de 1.7.0 à 1.7.0-update9
  • jre : 10 versions, de 1.7.0 à 1.7.0-update9
  • ubuntu linux : version 12.10
  • opensuse : version 12.2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Contrôle d'accès inapproprié (CWE-284) : Le produit ne restreint pas ou restreint incorrectement l'accès à une ressource par un acteur non autorisé.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Oracle JRE Remote Code Execution Vulnerability

A vulnerability in the way Java restricts the permissions of Java applets could allow an attacker to execute commands on a vulnerable system.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Oracle Java Runtime Environment (JRE)

  • CVE-2013-2423 — Oracle JRE : vulnérabilité non spécifiée (25 mai 2022)
  • CVE-2013-0431 — Oracle JRE : contournement du bac à sable (25 mai 2022)
  • CVE-2010-0840 — Oracle JRE : vulnérabilité non spécifiée (25 mai 2022)

← Toutes les failles Oracle · Suivi KEV