Vulnérabilités dans des produits F5 Networks

Date de publication :

De multiples vulnérabilités ont été découvertes dans plusieurs produits édités par F5 Networks. Elles sont liées à des vulnérabilités présentes dans libssh2 et PostgreSQL JDBC. Un attaquant distant exploitant ces vulnérabilités peut exécuter du code arbitraire et d’autres impacts non-spécifiés sur la machine d’un client SSH, ainsi qu’injecter du contenu XML erroné dans certains documents.

CVE-2019-3856, CVE-2019-3857 [Score CVSS v3 : 8.8 (NVD)] : Une vulnérabilité de type dépassement d’entier a été découverte dans libssh2. Un attaquant distant non-authentifié et contrôlant un serveur SSH malveillant peut exécuter du code arbitraire sur la machine d’un client se connectant à son serveur.

CVE-2019-3863 [Score CVSS v3 : 8.8 (NVD)] : Une vulnérabilité de type écriture hors-limites a été découverte dans libssh2. Un attaquant distant non-authentifié et contrôlant un serveur SSH malveillant peut provoquer un impact non-spécifié sur la machine d’un client se connectant à son serveur.

CVE-2020-13692 [Score CVSS v3 : 7.7 (NVD)] : Une vulnérabilité a été découverte dans PostgreSQL JDBC. Un attaquant distant non-authentifié peut inclure du contenu XML erroné  provenant de sources externes dans des documents générés par le programme.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Inclusion de contenu XML erroné
  • Autres impacts non-spécifiés

Criticité

  • Score CVSS v3 : 8.8 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

CVE

  • CVE-2019-3856
  • CVE-2019-3857
  • CVE-2019-3863
  • CVE-2020-13692

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour les produits concernés vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens