| CVE e riferimento |
Descrizione |
Commenti |
CVE-2014-0094
CVE-2016-3087
CVE-2017-5638
CVE-2017-9805 |
CVE-2014-0094 è stato segnalato nei confronti di Apache Struts:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0094
Il ParametersInterceptor in Apache Struts prima 2.3.16.1 consente agli aggressori remoti di manipolare il ClassLoader tramite il parametro Class, che viene passato al Metodo GetClass.
CVE-2016-3087 è stato segnalato nei confronti di Apache Struts:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3087
Apache strut 2.3.20.x prima 2.3.20.3, 2.3.24.x prima 2.3.24.3, e 2.3.28.x prima 2.3.28.1, quando la chiamata a un metodo dinamico è attivata, consentire agli aggressori remoti di eseguire codice arbitrario tramite vettori correlati a un operatore punto esclamativo (!) al plug-in REST.
CVE-2017-5638 è stato segnalato nei confronti di Apache Struts:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5638
Il parser Jakarta multipart in Apache Struts 2 2.3.x prima 2.3.32 e 2.5.x prima 2.5.10.1 gestisce il caricamento dei file. Questo maltrattamento consente agli aggressori remoti di eseguire comandi arbitrari tramite una #cmd = stringa in un'intestazione HTTP di tipo Content-Type creata, come sfruttata in the Wild nel marzo 2017.
CVE-2017-9805 è stato segnalato nei confronti di Apache Struts:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9805
Il plug-in per il resto in Apache Struts 2.1.2 attraverso 2.3.x prima 2.3.34 e 2.5.x prima 2.5.13 utilizza un XStreamHandler con un'istanza di XStream per la deserializzazione senza alcun tipo di filtraggio. Questo utilizzo può portare all'esecuzione di codice remoto durante la deserializzazione di payload XML. |
McAfee Email Gateway 7.x (MEG) utilizza il server Apache 2 HTTP, ma il appliance non utilizza Apache strut. Quindi, MEG 7.x non è vulnerabile a queste vulnerabilità. |
CVE-2016-5018
CVE-2016-6794
CVE-2016-6796
CVE-2016-6797
CVE-2016-0762
1165759 |
CVE-2016-5018:
Un'applicazione Web malevola è stata in grado di aggirare una SecurityManager configurata tramite un metodo di utilità Tomcat accessibile alle applicazioni Web.
Per ulteriori informazioni, consultare la sezione:
http://www.openwall.com/lists/oss-security/2016/10/27/9
CVE-2016-6794:
Quando si configura un SecurityManager, la capacità di un'applicazione Web di leggere le proprietà del sistema deve essere controllata da SecurityManager. La funzione di sostituzione della proprietà di sistema di Tomcat per i file di configurazione potrebbe essere utilizzata da un'applicazione Web malevola per aggirare le proprietà di sistema di SecurityManager e leggere che non dovrebbero essere visibili.
CVE-2016-6796:
Un'applicazione Web malevola è stata in grado di aggirare una SecurityManager configurata mediante la manipolazione dei parametri di configurazione per il servlet JSP.
CVE-2016-6797:
ResourceLinkFactory non ha limitato l'accesso delle applicazioni Web alle risorse JNDI globali a quelle risorse esplicitamente collegate all'applicazione Web. Pertanto, è stato possibile che un'applicazione Web acceda a qualsiasi risorsa JNDI globale se è stata configurata o meno una ResourceLink esplicita.
CVE-2016-0762
Le implementazioni di Realm non elaborano il password fornito se il nome utente specificato non esiste. Di conseguenza, ha effettuato un attacco di temporizzazione possibile per determinare i nomi utente validi. La configurazione predefinita include il LockOutRealm che rende più difficile lo sfruttamento di questa vulnerabilità.
Per ulteriori informazioni su queste vulnerabilità, consultare la sezione:
https://tomcat.apache.org/security-7.html |
CVE-2016-6797:
MWG non consente o supporta l'implementazione di applicazioni Web di terze parti,
Inoltre, MWG Manager non utilizza le risorse JNDI (Global o Explicit linked).
CVE-2016-5018, CVE-2016-6794 o CVE-2016-6796:
MWG non consente o supporta l'implementazione di applicazioni Web di terze parti, pertanto le applicazioni Web dannose non possono exploit queste vulnerabilità.
CVE-2016-0762:
MWG Manager utilizza Apache implementazione Realm di Tomcat. |
CVE-2014-1568
1013040 |
CVE-2014-1568:
Vulnerabilità nella vulnerabilità della libreria Crypto di Mozilla Network Security Services (NSS).
Mozilla Network Security Services (NSS) prima 3.16.2.1, 3.16.x prima 3.16.5, e 3.17.x prima 3.17.1, come utilizzato in Mozilla Firefox prima 32.0.3, Mozilla Firefox ESR 24.x prima 24.8.1 e 31.x prima 31.1.1, Mozilla Thunderbird prima 24.8.1 e 31.x prima 31.1.2, Mozilla SeaMonkey prima 2.29.1, Google Chrome prima 37.0.2062.124 in Windows e OS X e Google Chrome sistema operativo prima di 37.0.2062.120. Queste versioni non analizzano correttamente i valori ASN. 1 nei certificati X. 509. Il risultato è che è più semplice per gli aggressori remoti falsificare le firme RSA tramite un certificato creato, alias un problema di "malleabilità delle firme".
Per ulteriori informazioni, consultare la sezione:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1568
|
- La maggior parte delle versioni supportate di Gateway Web non utilizzano NSS. Pertanto, non sono interessati da questa vulnerabilità durante la gestione del traffico Web.
- Gateway Web 7.4.2.3 e in seguito utilizzare NSS; Tuttavia, queste versioni di NSS non sono interessate da questa vulnerabilità.
- Alcuni dei collegamenti di sistema puntano a NSS; ma non utilizzano l'elaborazione delle firme RSA.
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB83091.
|
CVE-2015-5477
1083675 |
CVE-2015-5477:
Questo problema è una vulnerabilità di BIND causata da un errore nella gestione delle query TKEY che può causare il denominazione all'uscita con un errore di asserzione necessario.
Per ulteriori informazioni, consultare la sezione:
https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5477
|
MWG utilizza una versione BIND interessata da questo problema. Tuttavia, nell'implementazione di MWG, non è possibile exploit il problema perché il nome è in esecuzione solo sull'interfaccia di loopback. Gli unici client che puntano a named sono il resolver di glibc Stub locale e MWG uDNS. Non è possibile creare un query TKEY utilizzando il resolver Stub glibc o MWG uDNS da parte di aggressori stranieri.
MWG probabilmente importerà un pacchetto BIND fisso in una versione futura, ma non c'è urgenza perché MWG non è vulnerabile.
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB85342. |
CVE-2015-1635 |
CVE-2015-1635:
Una vulnerabilità Microsoft con il driver kernel HTTP. sys utilizzato in molti dei suoi sistemi operativi. I sistemi operativi interessati includono Microsoft Windows 7 SP1, Windows Server 2008 R2 SP1, Windows 8, Windows 8.1e Windows Server 2012 Gold e R2. Http. sys è il driver in modalità kernel che gestisce le richieste HTTP. La vulnerabilità potrebbe consentire l'esecuzione remota di codice se un aggressore invia una richiesta HTTP appositamente predisposta a un sistema Windows interessato. La vulnerabilità esiste quando il componente http. sys analizza in modo errato le richieste HTTP appositamente create che includono un'intestazione HTTP "range" con un valore molto grande. Microsoft IIS server Web sono un software server comunemente utilizzato che è noto per essere vulnerabile. Tuttavia, qualsiasi software che utilizza il driver kernel HTTP. sys potrebbe essere vulnerabile.
Per ulteriori informazioni, consultare la sezione:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1635. |
MWG protegge il vostro ambiente dalla scatola quando implementate il policy predefinito di MWG.
Il set di regole antimalware Gateway di MWG include una regola denominata Rimuovi contenuto parziale per le richieste HTTP (s), che rimuove l'intestazione dell'intervallo per impedire download parziali.
Oltre a proteggere gli utenti finali da questa vulnerabilità, la rimozione dell'intestazione di intervallo consente inoltre a MWG di eseguire la scansione del file HTTP o HTTPS completo. In questo modo è possibile rilevare contenuti dannosi distribuiti su diverse parti di un file.
Se non si utilizzano le regole di Gateway antimalware predefinite, è possibile aggiungere la regola Rimuovi contenuti parziali per le richieste HTTP (s) al policy per proteggere tutte le installazioni di Windows. È possibile importare il set di regole di Gateway antimalware predefinito dalla libreria del set di regole oppure utilizzare la schermata allegata per creare una regola autonoma.
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB84520. |
CVE-2015-1793
1078983 |
CVE-2015-1793:
La funzione X509_verify_cert in Crypto/X509/x509_vfy. c in OpenSSL 1.0.1n 1.0.1o 1.0.2b e 1.0.2c non elabora correttamente i valori di base dei vincoli X. 509 durante l'identificazione di catene di certificati alternative. Il risultato è che consente agli aggressori remoti di falsificare un ruolo di autorità di certificazione e di attivare le verifiche indesiderate del certificato tramite un certificato foglia valido.
Per ulteriori informazioni, consultare la sezione:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1793 |
Il Gateway Web non è vulnerabile a questo problema. Nessuna versione supportata di Web Gateway utilizzare la variante di OpenSSL interessata.
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB85206. |
CVE-2016-0800
1124041 |
CVE-2016-0800:
Il protocollo SSLv2, come utilizzato in OpenSSL prima 1.0.1s e 1.0.2 prima 1.0.2g e altri prodotti, richiede a un server di inviare un messaggio ServerVerify prima di stabilire che un client possiede determinati dati RSA in chiaro. Il risultato è che rende più semplice per gli aggressori remoti decrittografare i dati crittografati TLS sfruttando un Bleichenbacher RSA Padding Oracle, aka a annegate Attack.
Per ulteriori informazioni, vedere:
|
MWG non è influenzato da questa vulnerabilità perché non supporta SSLv2.
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB86748 |
CVE-2015-4000
1067091 |
CVE-2015-4000:
Il protocollo TLS 1.2 e in precedenza, quando un DHE_EXPORT ciphersuite è attivato su un server ma non su un client, non trasmette correttamente una DHE_EXPORT scelta. Il risultato è che consente agli aggressori Man-in-the-Middle di condurre attacchi di downgrade cifrato riscrivendo un ClientHello con DHE sostituito da DHE_EXPORT e riscrivendo un ServerHello con DHE_EXPORT sostituito da DHE, alias il problema impasse.
Per ulteriori informazioni, consultare la sezione:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000
|
MWG non è vulnerabile a questo problema.
Tutte le versioni di MWG utilizzano chiavi DH con una forza di 1024 bit o superiore.
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB84890. |
CVE-2015-3197
CVE-2016-0701
1119566 |
CVE-2015-3197:
SSL/s2_srvr. c in OpenSSL 1.0.1 prima 1.0.1r e 1.0.2 prima 1.0.2f non impedisce l'utilizzo di cifrature disattivate che facilitano agli aggressori Man-in-the-Middle di sconfiggere i meccanismi di protezione crittografica effettuando calcoli sul traffico SSLv2, relativi alle funzioni get_client_master_key e get_client_hello.
Per ulteriori informazioni, consultare la sezione:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3197
CVE-2016-0701:
La funzione DH_check_pub_key in Crypto/DH/dh_check. c in OpenSSL 1.0.2 prima 1.0.2f non garantisce che i numeri primi siano appropriati per lo scambio di chiavi Diffie-Hellman (DH). Il risultato è che rende più facile per gli aggressori remoti scoprire un esponente DH privato facendo più strette di mano con un peer che ha scelto un numero inappropriato, come mostrato da un numero in una X9.42 file.
Per ulteriori informazioni, consultare la sezione:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0701
|
MWG non è vulnerabile a questi problemi:
MWG ha già impostato SSL_OP_NO_SSLv2 in tutte le posizioni, pertanto MWG non è vulnerabile a CVE-2015-3197.
MWG utilizza OpenSSL 1.0.1p-1, che non è vulnerabile a CVE-2016-0701 perché la versione non supporta X9.42parametri basati su. MWG ha importato un pacchetto OpenSSL fisso nelle seguenti versioni:
Nota Queste informazioni erano precedentemente ospitate nell'articolo KB86552. |
