Categorie: Geen categorie

Google heeft een kwetsbaarheid verholpen in de Brotli-decompressiebibliotheek. Deze bibliotheek wordt onder meer gebruikt in Node.js. Een ongeauthenticeerde kwaadwillende kan de kwetsbaarheid op afstand misbruiken door speciaal vervaardigde Brotli-gecomprimeerde gegevens te laten verwerken. Succesvol misbruik kan leiden tot een denial-of-service, toegang tot gevoelige gegevens uit het procesgeheugen of het uitvoeren van willekeurige code met de rechten van het getroffen proces.

De FreeBSD community heeft meerdere kwetsbaarheden verholpen in bhyve Hypervisor De kwetsbaarheden betreffen race conditions, onjuiste validatie en synchronisatieproblemen in verschillende device modellen binnen de bhyve hypervisor. Een kwaadwillende gast-virtuele machine kan deze fouten misbruiken om een denial of service te veroorzaken door het bhyve proces te laten crashen of om arbitraire code uit te voeren in de host userspace. Dit kan plaatsvinden via manipulatie van event ring size en Transfer Request Block (TRB) velden in de USB 3 device model, het triggeren van out-of-bounds geheugen toegang door onjuiste controle van zero-length Buffer Descriptor List entries in de HDA audio device model, en door het misbruiken van duplicaten, unsynchronized constanten en ontbrekende validatie van resolutieparameters in de framebuffer device model. Deze kwetsbaarheden zijn specifiek voor systemen die de bhyve hypervisor gebruiken.

Cisco heeft meerdere kwetsbaarheden verholpen in Cisco Expressway Series. De kwetsbaarheden betreffen onder andere onvoldoende autorisatiecontroles tijdens Mobile en Remote Access provisioning, waardoor ongeauthenticeerde externe aanvallers toegang kunnen krijgen tot gevoelige informatie. Daarnaast is er een kwetsbaarheid in de databaseservice die het mogelijk maakt voor ongeauthenticeerde aanvallers met netwerktoegang om root-commando’s uit te voeren via onvoldoende validatie van clientcertificaten bij TLS Verify Mode voor clustering.

Verder zijn er diverse kwetsbaarheden geïdentificeerd door interne security reviews, waaronder problemen met improper resource control, authenticatie, input validatie, SQL-injectie, access control, pathname limitation, exception handling, out-of-bounds write, reachable assertions, null pointer dereference, uncaught exceptions, code injection, incorrect permission assignments, improper link resolutions en insecure handling of temporary files. Deze kwetsbaarheden kunnen leiden tot het omzeilen van toegangscontroles, het uitvoeren van ongeautoriseerde code, het verkrijgen van root-toegang en het blootstellen van gevoelige data. De kwetsbaarheden zijn intern ontdekt en worden aangepakt met software hardening updates.

Cisco heeft meerdere kwetsbaarheden verholpen in Snort 3, het open source intrusion detection en prevention systeem dat in diverse Cisco-producten wordt gebruikt. De kwetsbaarheden bevinden zich in verschillende componenten van de Snort 3 Detection Engine, waaronder de SMTP MIME Decoder, NetFlow Detection Engine, GRE Detection Engine, Teredo Detection Engine, VBA Decompression Engine, en de memory management. Ongeauthenticeerde remote aanvallers kunnen speciaal vervaardigde pakketten of datagrammen versturen die leiden tot onverwachte herstarts van de detectie-engine, wat resulteert in een denial of service. Daarnaast is er een kwetsbaarheid in de control channel socket die een geauthenticeerde lokale aanvaller met lage privileges in staat stelt om arbitrary commands uit te voeren en toegang te krijgen tot het geheugen van het Snort 3 proces. De kwetsbaarheden beïnvloeden de stabiliteit, betrouwbaarheid en continuïteit van netwerkverkeersinspectie en dreigingsdetectie binnen de getroffen Cisco-producten.

Oracle heeft meerdere kwetsbaarheden verholpen in Oracle Java. In Oracle Java SE, JavaFX en GraalVM Enterprise Edition zijn diverse kwetsbaarheden aanwezig die door ongeauthenticeerde netwerkaanvallers kunnen worden misbruikt via blootgestelde API’s of sandboxed Java-applicaties.

Deze kwetsbaarheden maken het mogelijk om denial of service te veroorzaken, ongeautoriseerde lees- en schrijfacties op data uit te voeren, en in sommige gevallen beperkte data toegang te verkrijgen. Exploitatie kan plaatsvinden via netwerktoegang, soms met vereiste van gebruikersinteractie, en betreft meerdere componenten zoals de compiler, networking, JAXP, JDBC, RMI, ImageIO, Lightweight HTTP Server en CORBA. Daarnaast zijn er kwetsbaarheden die leiden tot crashes of het vastlopen van systemen bij het uitvoeren van onbetrouwbare code in sandboxed omgevingen.

Oracle heeft meerdere kwetsbaarheden verholpen in diverse producten, waaronder Oracle SOA Suite, Oracle WebLogic Server, Oracle Data Integrator, Oracle Identity Manager, Oracle Access Manager, Oracle WebCenter Content, Oracle Fusion Middleware (inclusief Helidon) en Oracle HTTP Server. De kwetsbaarheden betreffen onder andere onveilige deserialisatie, onvoldoende authenticatie- en toegangscontroles, kwetsbaarheden in netwerkprotocollen zoals HTTP, HTTP/2, SOAP, T3, IIOP en LDAP, en fouten in cryptografische bibliotheken zoals Bouncy Castle en Jackson-databind. Aanvallers kunnen hierdoor onder meer:

– Arbitrary code execution uitvoeren via crafted input of deserialisatieprocessen.
– Volledige systeemcompromittering bereiken via netwerktoegang zonder authenticatie.
– Ongeautoriseerde toegang verkrijgen tot gevoelige of kritieke data.
– Data manipuleren, creëren, verwijderen of wijzigen zonder juiste rechten.
– Denial-of-Service veroorzaken door resource-uitputting, crashes of hangs.
– Privilege escalation uitvoeren binnen het systeem.
– Cross-site scripting en spoofing aanvallen uitvoeren.
– Kwetsbaarheden in authenticatie- en autorisatiemechanismen misbruiken.

De kwetsbaarheden zijn aanwezig in specifieke versies van de genoemde Oracle producten en sommige onderliggende open source componenten die Oracle gebruikt. Exploitatie kan plaatsvinden via netwerktoegang, vaak zonder authenticatie, en in sommige gevallen is gebruikersinteractie vereist. Diverse kwetsbaarheden hebben een CVSS score tot 10.0, wat duidt op een hoog potentieel impactniveau. Er is (nog) geen specifieke proof-of-concept-code (PoC) bekend, maar de aard van de kwetsbaarheden maakt exploitatie mogelijk via gerichte netwerkverzoeken of gemanipuleerde data en het NCSC verwacht, vanwege de wijde verspreiding van deze producten, op korte termijn een toename in scan- en misbruikverkeer.

Oracle heeft 33 kwetsbaarheden verholpen in diverse Oracle Analytics-producten, waaronder Oracle Business Intelligence Enterprise Edition en Oracle BI Publisher. In de patchnote staan 33 kwetsbaarheden, waarvan 14 kwetsbaarheden op afstand kunnen worden misbruikt zonder dat authenticatie vereist is. Afhankelijk van de kwetsbaarheid, de getroffen productversie en de configuratie kan misbruik leiden tot ongeautoriseerde toegang tot gevoelige gegevens, het aanmaken, wijzigen of verwijderen van gegevens, verstoring van de dienstverlening of compromittering van de getroffen component. De hoogst gerapporteerde CVSS 3.1-basisscore voor Oracle Analytics bedraagt 9,1 op een schaal van 10.

Oracle heeft 110 kwetsbaarheden verholpen in diverse Oracle Communications-producten, waaronder Oracle Communications Unified Assurance, Oracle Communications Cloud Native Core Security Edge Protection Proxy, Oracle Communications Service Catalog and Design en Oracle Communications Operations Monitor. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Communications-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van laag tot kritiek, met een maximale score van 9,8. De update bevat in totaal 110 kwetsbaarheden voor Oracle Communications, waarvan 77 kwetsbaarheden op afstand zonder authenticatie kunnen worden misbruikt. Succesvol misbruik kan, afhankelijk van de specifieke kwetsbaarheid, leiden tot ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens of het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen voorafgaande toegangsrechten of gebruikersinteractie, terwijl andere via netwerktoegang zonder authenticatie kunnen worden misbruikt.

PHP heeft twee kritieke kwetsbaarheden verholpen. De kwetsbaarheden kunnen zonder authenticatie op afstand worden misbruikt voor het uitvoeren van willekeurige code. Alle PHP-installaties die webverzoeken verwerken zijn getroffen. De kwetsbaarheid met kenmerk CVE-2026-109618 betreft geheugenbeschadiging bij de afhandeling van een Out-of-Memory-situatie. Hierdoor kunnen interne requestgegevens slechts gedeeltelijk worden geïnitialiseerd en tijdens de verwerking als geldige gegevens worden behandeld, wat kan leiden tot Remote Code Execution.

De kwetsbaarheid met kenmerk CVE-2026-109619 betreft het achterblijven van interne globale status nadat het bijbehorende geheugen is vrijgegeven. Een volgend verzoek dat door dezelfde worker wordt verwerkt, kan deze verouderde status gebruiken voordat deze opnieuw wordt geïnitialiseerd, wat eveneens kan leiden tot Remote Code Execution.

Beide kwetsbaarheden kunnen zonder authenticatie via webverzoeken worden misbruikt en kunnen leiden tot het uitvoeren van willekeurige code op de getroffen server. Het PHP-team adviseert alle gebruikers dringend om onmiddellijk te updaten. Het NCSC adviseert daarom de beveiligingsupdates met spoed toe te passen.

Oracle heeft 194 kwetsbaarheden verholpen in Oracle E-Business Suite en gerelateerde componenten, specifiek voor versies 12.2.3 tot en met 12.2.15. Afhankelijk van de specifieke kwetsbaarheid kunnen deze door een aanvaller met netwerktoegang worden misbruikt om ongeautoriseerde toegang tot gegevens te verkrijgen of om gegevens aan te maken, in te zien, te wijzigen of te verwijderen. In ernstige gevallen kan misbruik leiden tot Remote Code Execution (RCE), waardoor een aanvaller willekeurige code kan uitvoeren op het getroffen systeem.

Een deel van de kwetsbaarheden kan op afstand worden misbruikt zonder authenticatie. Voor andere kwetsbaarheden zijn geldige inloggegevens, specifieke toegangsrechten of gebruikersinteractie vereist. De impact en de voorwaarden voor misbruik verschillen per kwetsbaarheid en getroffen component. De CVSS 3.1-scores lopen op tot de maximale score van 10,0.