Suivi KEV › Oracle

CVE-2013-2465 Oracle Java SE : vulnérabilité non spécifiée

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 28 mars 2022.

  • Produit : Oracle Java SE
  • Ajoutée au catalogue : 28 mars 2022
  • Échéance CISA : 18 avril 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : Java

Une vulnérabilité non spécifiée dans le composant Java Runtime Environment (JRE) d'Oracle Java SE permet à des attaquants distants d'affecter la confidentialité, l'intégrité et la disponibilité via des vecteurs inconnus liés à 2D

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 98,8 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • jre : 92 versions, de 1.7.0 à 1.5.0-update9
  • linux enterprise desktop : version 10-sp4
  • linux enterprise java : 3 versions, de 10-sp4 à 11-sp3
  • linux enterprise server : 4 versions, de 10-sp3 à 11-sp3
  • linux enterprise software development kit : 2 versions, de 11-sp2 à 11-sp3

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Défaillance de mécanisme de protection (CWE-693) : Le produit n'utilise pas ou utilise incorrectement un mécanisme de protection offrant une défense suffisante contre les attaques dirigées contre le produit.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Oracle Java SE Unspecified Vulnerability

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE allows remote attackers to affect confidentiality, integrity, and availability via Unknown vectors related to 2D

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Oracle Java SE

  • CVE-2012-5076 — Oracle Java SE : contournement du sandbox (28 mars 2022)
  • CVE-2015-4902 — Oracle Java SE : vulnérabilité de vérification d'intégrité (3 mars 2022)
  • CVE-2015-2590 — Oracle Java SE : exécution de code à distance (3 mars 2022)
  • CVE-2012-4681 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)
  • CVE-2012-1723 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)
  • CVE-2012-0507 — Oracle Java SE : vulnérabilité d'exécution de code arbitraire (3 mars 2022)

← Toutes les failles Oracle · Suivi KEV