Beveiligingsadviezen van het NCSC
Er zijn verschillende kwetsbaarheden verholpen in IBM Db2 On Openshift en IBM Db2 en Db2 Warehouse on Cloud Pak for Data. Deze kwetsbaarheden stellen een aanvaller in staat willekeurige code uit te voeren of een Denial-of-Service (DoS) te veroorzaken.
Apache heeft versie 2.4.49 uitgebracht van de Apache webserver. In deze versie zijn een aantal kwetsbaarheden verholpen. De kwetsbaarheden stellen een kwaadwillende op afstand mogelijk in staat aanvallen uit te voeren die leiden tot de volgende categorieën schade:
Cross-Site Request Forgery (XSRF)
Denial-of-Service (DoS)
(Remote) code execution (Applicatierechten)
Er zijn kwetsbaarheden verholpen in diverse SAP-producten. De kwetsbaarheden stellen een kwaadwillende in staat aanvallen uit te voeren die leiden tot de volgende categorieën schade:
Cross-Site Request Forgery (XSRF)
Cross-Site Scripting (XSS)
Denial-of-Service (DoS)
(Remote) code execution (Gebruikersrechten)
Toegang tot gevoelige gegevens
Verhoogde gebruikersrechten
Er is een kwetsbaarheid verholpen in PAN-OS. Een kwaadwillende met toegang tot de DNS-proxyfunctie van PAN-OS-software kan middels een Man-in-the-Middle (MITM) methode specifiek vervaardigd verkeer naar de firewall sturen waardoor de service onverwacht opnieuw wordt opgestart.
Een onderzoeker van PortSwigger heeft kwetsbaarheden ontdekt in verschillende implementaties van HTTP/2. De onderzoeker heeft aangetoond dat het mogelijk is om HTTP/2 requests te manipuleren. Wanneer de front-end van een applicatie HTTP/2 gebruikt en het verzoek doorzet naar de back-end vindt er soms een downgrade naar HTTP/1 plaats. Slim gebruik van HTTP/2 headers in deze downgrade-situatie stelt de kwaadwillende in staat vele soorten vervolgschade te berokkenen. Zo kan de kwaadwillende bijvoorbeeld slachtoffers routeren naar zijn eigen webserver en gevoelige gegevens bemachtigen. Er zijn meerdere manieren om de kwetsbaarheden uit te buiten, deze staan uitgebreid beschreven in het rapport van de onderzoeker
Oracle heeft kwetsbaarheden verholpen in de volgende producten:
MySQL Workbench
MySQL Server
MySQL Cluster
MySQL Connectors
Schneider Electric heeft een kwetsbaarheid verholpen in de Modicon M340-controllers. Een ongeauthenticeerde kwaadwillende op afstand kan de kwetsbaarheid mogelijk misbruiken om een Denial-of-Service te veroorzaken in de Ethernetinterface van de controller door het versturen van een specifieke SNMP-request.
