Schwachstellen im Stack Anwendungen · Seite 9

CVE-2024-20922

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JavaFX). Supported versions that are affected are Oracle Java SE: 8u391; Oracle GraalVM Enterprise Edition: 20.3.12 and 21.3.8. Difficult to exploit vulnerability allows unauthenticated attacker with logon to the infrastructure where Oracle Java SE, Oracle GraalVM Enterprise Edition executes to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition. Successful attacks require human interaction from a person other than the attacker. Successful attacks of this vulnerability can result in unauthorized update, insert or delete ac

CVE-2024-20918

Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Hotspot). Supported versions that are affected are Oracle Java SE: 8u391, 8u391-perf, 11.0.21, 17.0.9, 21.0.1; Oracle GraalVM for JDK: 17.0.9, 21.0.1; Oracle GraalVM Enterprise Edition: 20.3.12, 21.3.8 and 22.3.4. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modificati

• Auf 11.0.22+7-0ubuntu2~18.04.1 aktualisieren
• Auf 11.0.22+7-0ubuntu2~20.04.1 aktualisieren
• Auf 17.0.10+7-1~18.04.1 aktualisieren
• Auf 17.0.10+7-1~20.04.1 aktualisieren
• Auf 17.0.10+7-1~22.04.1 aktualisieren
• Auf 17.0.10+7-1~deb12u1 aktualisieren
• Auf 21.0.2+13-1 aktualisieren
• Auf 21.0.2+13-1~20.04.1 aktualisieren
• Auf 8u402-ga-2ubuntu1~18.04 aktualisieren
• Auf 8u402-ga-2ubuntu1~20.04 aktualisieren
• Auf 8u432-ga~us1-0ubuntu2~16.04.4 aktualisieren

Code injection in zabbix_agent2 smart.disk.get caused by smartctl plugin

The Zabbix Agent 2 item key smart.disk.get does not sanitize its parameters before passing them to a shell command resulting possible vulnerability for remote code execution.

• Auf 1:6.0.24+dfsg-1 aktualisieren
• Auf 5.0.39rc1 aktualisieren
• Auf 6.0.24rc1 aktualisieren
• Auf 6.4.9rc1 aktualisieren
• Auf 7.0.0alpha8 aktualisieren

Code execution vulnerability in icmpping

An attacker who has the privilege to configure Zabbix items can use function icmpping() with additional malicious command inside it to execute arbitrary code on the current Zabbix server.

• Auf 1:6.0.23+dfsg-1 aktualisieren
• Auf 4.0.50 aktualisieren
• Auf 5.0.39 aktualisieren
• Auf 6.0.23rc1 aktualisieren
• Auf 6.4.8rc1 aktualisieren
• Auf 7.0.0alpha7 aktualisieren

Possible buffer overread from reading DNS responses

The vulnerability is caused by improper check for check if RDLENGTH does not overflow the buffer in response from DNS server.

• Auf 1:6.0.24+dfsg-1 aktualisieren
• Auf 5.0.40 aktualisieren
• Auf 6.0.24 aktualisieren
• Auf 6.4.9 aktualisieren
• Auf 7.0.0alpha8 aktualisieren

Leak of zbx_session cookie when using a scheduled report that includes a dashboard with a URL widget.

The website configured in the URL widget will receive a session cookie when testing or executing scheduled reports. The received session cookie can then be used to access the frontend as the particular user.

• Auf 1:6.0.23+dfsg-1 aktualisieren
• Auf 6.0.22rc1 aktualisieren
• Auf 6.4.7rc1 aktualisieren
• Auf 7.0.0alpha4 aktualisieren

CVE-2023-22081

Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JSSE). Supported versions that are affected are Oracle Java SE: 8u381, 8u381-perf, 11.0.20, 17.0.8, 21; Oracle GraalVM for JDK: 17.0.8, 21; Oracle GraalVM Enterprise Edition: 20.3.11, 21.3.7 and 22.3.3. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTPS to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized ability to cause a partial denial of service (partial DOS)

• Auf 11.0.21+9-0ubuntu1~18.04 aktualisieren
• Auf 11.0.21+9-0ubuntu1~20.04 aktualisieren
• Auf 17.0.9+9-1~18.04 aktualisieren
• Auf 17.0.9+9-1~20.04 aktualisieren
• Auf 17.0.9+9-1~22.04 aktualisieren
• Auf 17.0.9+9-1~deb12u1 aktualisieren
• Auf 21.0.1+12-1 aktualisieren
• Auf 8u392-ga-1~16.04 aktualisieren
• Auf 8u392-ga-1~18.04 aktualisieren
• Auf 8u392-ga-1~20.04 aktualisieren

CVE-2023-22067

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: CORBA). Supported versions that are affected are Oracle Java SE: 8u381, 8u381-perf; Oracle GraalVM Enterprise Edition: 20.3.11 and 21.3.7. Easily exploitable vulnerability allows unauthenticated attacker with network access via CORBA to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability can only be exploited by supplying

• Auf 8u392-ga-1~16.04 aktualisieren
• Auf 8u392-ga-1~18.04 aktualisieren
• Auf 8u392-ga-1~20.04 aktualisieren
• Auf 8u392-ga-1~22.04 aktualisieren

CVE-2023-22025

Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition, product of Oracle Java SE (component: Hotspot). Supported versions that are affected are Oracle Java SE: 8u381-perf, 17.0.8, 21; Oracle GraalVM for JDK: 17.0.8, 21; Oracle GraalVM Enterprise Edition: 21.3.7 and 22.3.3. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition,. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE, Orac

• Auf 11.0.21+9-0ubuntu1~18.04 aktualisieren
• Auf 11.0.21+9-0ubuntu1~20.04 aktualisieren
• Auf 17.0.9+9-1~18.04 aktualisieren
• Auf 17.0.9+9-1~20.04 aktualisieren
• Auf 17.0.9+9-1~22.04 aktualisieren
• Auf 17.0.9+9-1~deb12u1 aktualisieren
• Auf 21.0.1+12-1 aktualisieren
• Auf 8u392-ga-1~16.04 aktualisieren
• Auf 8u392-ga-1~18.04 aktualisieren
• Auf 8u392-ga-1~20.04 aktualisieren

CVE-2023-4399

Grafana is an open-source platform for monitoring and observability. In Grafana Enterprise, Request security is a deny list that allows admins to configure Grafana in a way so that the instance doesn’t call specific hosts. However, the restriction can be bypassed used punycode encoding of the characters in the request address.

• Auf 10.0.9 aktualisieren
• Auf 10.1.5 aktualisieren
• Auf 9.4.17 aktualisieren
• Auf 9.5.13 aktualisieren

CVE-2023-4822

Grafana is an open-source platform for monitoring and observability. The vulnerability impacts Grafana instances with several organizations, and allows a user with Organization Admin permissions in one organization to change the permissions associated with Organization Viewer, Organization Editor and Organization Admin roles in all organizations. It also allows an Organization Admin to assign or revoke any permissions that they have to any user globally. This means that any Organization Admin can elevate their own permissions in any organization that they are already a member of, or elevate or restrict the permissions of any other user. Th

• Auf 10.0.7 aktualisieren
• Auf 10.1.3 aktualisieren
• Auf 9.4.16 aktualisieren
• Auf 9.5.11 aktualisieren

JavaScript engine memory pointers are directly available for Zabbix users for modification

Memory pointer is in a property of the Ducktape object. This leads to multiple vulnerabilities related to direct memory access and manipulation.

• Auf 1:6.0.23+dfsg-1 aktualisieren
• Auf 5.0.37rc1 aktualisieren
• Auf 6.0.21rc1 aktualisieren
• Auf 6.4.6rc1 aktualisieren
• Auf 7.0.0alpha4 aktualisieren

Inefficient permission check in class CControllerAuthenticationUpdate

Request to LDAP is sent before user permissions are checked.

• Auf 1:5.0.0+dfsg-1 aktualisieren
• Auf 4.0.20rc1 aktualisieren
• Auf 4.4.8rc1 aktualisieren
• Auf 5.0.0alpha4 aktualisieren

Stack-buffer Overflow in library module zbxjson

The zabbix/src/libs/zbxjson module is vulnerable to a buffer overflow when parsing JSON files via zbx_json_open.

• Auf 1:6.0.23+dfsg-1 aktualisieren
• Auf 6.0.21rc1 aktualisieren
• Auf 6.4.6rc1 aktualisieren
• Auf 7.0.0alpha4 aktualisieren

Stored XSS in Maps element

A stored XSS has been found in the Zabbix web application in the Maps element if a URL field is set with spaces before URL.

• Auf 1:6.0.23+dfsg-1 aktualisieren
• Auf 4.0.48rc1 aktualisieren
• Auf 5.0.37rc1 aktualisieren
• Auf 6.0.21rc1 aktualisieren
• Auf 6.4.6rc1 aktualisieren
• Auf 7.0.0alpha4 aktualisieren

Agent 2 package are built with Go version affected by CVE-2023-24538

Templates do not properly consider backticks (`) as Javascript string delimiters, and do not escape them as expected. Backticks are used, since ES6, for JS template literals. If a template contains a Go template action within a Javascript template literal, the contents of the action can be used to terminate the literal, injecting arbitrary Javascript code into the Go template. As ES6 template literals are rather complex, and themselves can do string interpolation, the decision was made to simply disallow Go template actions from being used inside of them (e.g., "var a = {{.}}"), since there is no obviously safe way to allow this behavior. Thi

• Auf 1:6.0.23+dfsg-1 aktualisieren
• Auf 5.0.35 aktualisieren
• Auf 6.0.18 aktualisieren
• Auf 6.4.3 aktualisieren

CVE-2023-22049

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition, Oracle GraalVM for JDK product of Oracle Java SE (component: Libraries). Supported versions that are affected are Oracle Java SE: 8u371, 8u371-perf, 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7 and 20.0.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition, Oracle GraalVM for JDK. Successful attacks of this vulnerability can result in unauthorized update, insert or delete acces

• Auf 11.0.20+8-1ubuntu1~18.04 aktualisieren
• Auf 11.0.20+8-1ubuntu1~20.04 aktualisieren
• Auf 17.0.8+7-1~18.04 aktualisieren
• Auf 17.0.8+7-1~20.04.2 aktualisieren
• Auf 17.0.8+7-1~22.04 aktualisieren
• Auf 17.0.8+7-1~deb12u1 aktualisieren
• Auf 8u382-ga-1~16.04.1 aktualisieren
• Auf 8u382-ga-1~18.04.1 aktualisieren
• Auf 8u382-ga-1~20.04.1 aktualisieren

CVE-2023-22045

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition, Oracle GraalVM for JDK product of Oracle Java SE (component: Hotspot). Supported versions that are affected are Oracle Java SE: 8u371, 8u371-perf, 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7 and 20.0.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition, Oracle GraalVM for JDK. Successful attacks of this vulnerability can result in unauthorized read access to a subset of Oracl

• Auf 11.0.20+8-1ubuntu1~18.04 aktualisieren
• Auf 11.0.20+8-1ubuntu1~20.04 aktualisieren
• Auf 17.0.8+7-1~18.04 aktualisieren
• Auf 17.0.8+7-1~20.04.2 aktualisieren
• Auf 17.0.8+7-1~22.04 aktualisieren
• Auf 17.0.8+7-1~deb12u1 aktualisieren
• Auf 8u382-ga-1~16.04.1 aktualisieren
• Auf 8u382-ga-1~18.04.1 aktualisieren
• Auf 8u382-ga-1~20.04.1 aktualisieren

CVE-2023-22044

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition, Oracle GraalVM for JDK product of Oracle Java SE (component: Hotspot). Supported versions that are affected are Oracle Java SE: 8u371-perf, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7 and 20.0.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition, Oracle GraalVM for JDK. Successful attacks of this vulnerability can result in unauthorized read access to a subset of Oracle Java SE, Oracle GraalVM

• Auf 17.0.8+7-1~18.04 aktualisieren
• Auf 17.0.8+7-1~20.04.2 aktualisieren
• Auf 17.0.8+7-1~22.04 aktualisieren
• Auf 17.0.8+7-1~deb12u1 aktualisieren

CVE-2023-22043

Vulnerability in Oracle Java SE (component: JavaFX). The supported version that is affected is Oracle Java SE: 8u371. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE accessible data. Note: This vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet)

• Auf 11+26-1 aktualisieren