Yakov Shafranovich

**Nome do Software Vulnerável e Versões Afetadas** Apache Tika versões 1.13 até 3.2.1 Apache Tika tika-core versões 1.13 até 3.2.1 Apache Tika tika-pdf-module versões 2.0.0 até 3.2.1 Apache Tika tika-parsers versões 1.13 até 1.28.5 **Descrição** Existe uma vulnerabilidade crítica de Entidade Externa XML (XXE) no Apache Tika, especificamente dentro dos componentes `tika-parser-pdf-module`, `tika-core` e `tika-parsers`. Esta falha permite que um atacante injete código XML malicioso por meio de um arquivo XFA manipulado incorporado em um documento PDF. A exploração bem-sucedida poderia permitir que um atacante lesse dados sensíveis ou iniciasse requisições não autorizadas para recursos internos ou servidores externos. A causa raiz da vulnerabilidade está no componente `PDFParser`, inicialmente relatado no `tika-parser-pdf-module`, mas finalmente corrigido no `tika-core`. A vulnerabilidade afeta versões 1.x onde o `PDFParser` está localizado no módulo `org.apache.tika:tika-parsers`. **Recomendações** Atualize para a versão 3.2.2 ou posterior do Apache Tika. Atualize o `tika-core` para a versão 3.2.2 ou posterior. Atualize o `tika-pdf-module` para a versão 3.2.2 ou posterior. Atualize o `tika-parsers` para a versão 1.28.5 ou posterior.

**Nome do software vulnerável e versões afetadas** Oracle Java SE versões 8u411, 8u411-perf, 11.0.23 Oracle GraalVM Enterprise Edition versões 20.3.14, 21.3.10 IBM SDK, Java Technology Edition versões 7.1.0.0 a 7.1.5.18 IBM SDK, Java Technology Edition versões 8.0.0.0 a 8.0.8.26 **Descrição** O problema está relacionado à validação insuficiente de entradas no componente Concurrency, permitindo que um invasor não autenticado com acesso à rede por meio de vários protocolos comprometa o sistema. Ataques bem-sucedidos podem resultar em uma negação parcial de serviço. Este problema se aplica a implantações Java que carregam e executam código não confiável e dependem da sandbox Java para segurança, normalmente em clientes que executam aplicativos Java Web Start em sandbox ou miniaplicativos Java em sandbox. A vulnerabilidade não se aplica a implantações Java que carregam e executam apenas código confiável, normalmente em servidores. **Recomendações** Para as versões 8u411, 8u411-perf e 11.0.23 do Oracle Java SE, atualize para uma versão que inclua a correção para este problema. Para as versões 20.3.14 e 21.3.10 do Oracle GraalVM Enterprise Edition, atualize para uma versão que inclua a correção para este problema. Para as versões 7.1.0.0 a 7.1.5.18 do IBM SDK, Java Technology Edition, atualize para uma versão fora desse intervalo. Para as versões 8.0.0.0 a 8.0.8.26 do IBM SDK, Java Technology Edition, atualize para uma versão fora desse intervalo. Como solução alternativa temporária, considere restringir o acesso ao componente Concurrency até que um patch esteja disponível.

Nome do software vulnerável e versões afetadas: Oracle Java SE versões 8u401, 8u401-perf, 11.0.22 Oracle GraalVM Enterprise Edition versões 20.3.13, 21.3.9 Descrição: O problema está relacionado à validação insuficiente de entradas no componente Concurrency do Oracle Java SE e do Oracle GraalVM Enterprise Edition. Isso pode ser explorado por um invasor não autenticado com acesso à rede por meio de vários protocolos, levando potencialmente a uma negação de serviço (DOS) parcial dos sistemas afetados. A vulnerabilidade pode ser explorada por meio de APIs no componente especificado, por exemplo, via um serviço web que fornece dados às APIs. Ela também afeta implantações Java que carregam e executam código não confiável da internet e dependem da sandbox do Java para segurança. Recomendações: Para as versões 8u401, 8u401-perf e 11.0.22 do Oracle Java SE, considere atualizar para uma versão mais recente para mitigar o risco. Para as versões 20.3.13 e 21.3.9 do Oracle GraalVM Enterprise Edition, considere atualizar para uma versão mais recente para mitigar o risco. Como solução alternativa temporária, considere restringir o acesso ao componente Concurrency até que um patch esteja disponível. Evite usar APIs no componente Concurrency que forneçam dados de fontes não confiáveis até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Apache Commons Compress, versões 1.3 a 1.25.0 Bamboo Data Center e Server, versões 9.0.0, 9.1.0, 9.2.1, 9.3.0, 9.4.0 e 9.5.0 Confluence Data Center e Server, versão 7.14 **Descrição** O problema está relacionado a uma vulnerabilidade de “Loop with Unreachable Exit Condition” (“Infinite Loop”) no Apache Commons Compress. Essa vulnerabilidade pode permitir que um invasor não autenticado exponha ativos no ambiente, suscetíveis a exploração, com alto impacto na confidencialidade, integridade e disponibilidade. A vulnerabilidade não requer interação do usuário. **Recomendações** Apache Commons Compress versões 1.3 a 1.25.0: atualize para a versão 1.26.0. Bamboo Data Center e Server 9.2: atualize para uma versão igual ou superior a 9.2.12. Bamboo Data Center e Server 9.4: atualize para uma versão igual ou superior a 9.4.4. Bamboo Data Center e Server 9.5: atualize para uma versão igual ou superior a 9.5.2. Confluence Data Center e Server 7.19: atualize para uma versão igual ou superior a 7.19.25. Confluence Data Center e Server 8.5: atualize para uma versão igual ou superior à 8.5.12. Confluence Data Center e Server 8.9: atualize para uma versão igual ou superior à 8.9.4.

**Nome do software vulnerável e versões afetadas** Apache Commons Compress, versões 1.21 a 1.25 **Descrição** O problema está relacionado a uma vulnerabilidade de consumo descontrolado de recursos no Apache Commons Compress, que pode ser explorada por um invasor para comprometer a disponibilidade de informações protegidas. Isso ocorre quando um arquivo Pack200 corrompido é descompactado. **Recomendações** Para resolver o problema, recomenda-se que os usuários atualizem para a versão 1.26, que corrige a falha.

**Nome do software vulnerável e versões afetadas** Oracle Java SE versão 17.0.9 Oracle GraalVM para JDK versão 17.0.9 Oracle GraalVM Enterprise Edition versões 21.3.8 e 22.3.4 **Descrição** O problema está relacionado à validação insuficiente de entradas no componente de segurança do software afetado, permitindo que um invasor não autenticado com acesso à rede por meio de vários protocolos comprometa o sistema. Ataques bem-sucedidos podem resultar em acesso não autorizado para criação, exclusão ou modificação de dados críticos. Essa vulnerabilidade se aplica a implantações Java que carregam e executam código não confiável, como aplicativos Java Web Start em sandbox ou miniaplicativos Java em sandbox, e dependem da sandbox Java para segurança. **Recomendações** Para o Oracle Java SE versão 17.0.9, atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Para o Oracle GraalVM para JDK versão 17.0.9, atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Para o Oracle GraalVM Enterprise Edition versões 21.3.8 e 22.3.4, atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução alternativa temporária, considere restringir o uso do componente de segurança no software afetado até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Elasticsearch (affected versions not specified) **Description** An issue was identified that allowed the unsafe deserialization of java objects from hadoop or spark configuration properties that could have been modified by authenticated users. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** logback version 1.4.11 Confluence Data Center and Server versions from 6.0.1 to 8.7.1 Confluence Data Center and Server versions from 8.7.0 to 8.7.1 Confluence Data Center versions from 8.6.0 to 8.6.2 Confluence Data Center versions from 8.5.0 to 8.5.4 LTS Confluence Data Center versions from 8.4.0 to 8.4.5 Confluence Data Center versions from 8.3.0 to 8.3.4 Confluence Data Center versions from 8.2.0 to 8.2.3 Confluence Data Center versions from 8.1.0 to 8.1.4 Confluence Data Center versions from 8.0.0 to 8.0.4 Confluence Data Center versions from 7.20.0 to 7.20.3 Confluence Data Center versions from 7.19.0 to 7.19.17 LTS Confluence Data Center versions from 7.18.0 to 7.18.3 Confluence Data Center versions from 7.17.0 to 7.17.5 Confluence Server versions from 8.5.0 to 8.5.4 LTS Confluence Server versions from 8.4.0 to 8.4.5 Confluence Server versions from 8.3.0 to 8.3.4 Confluence Server versions from 8.2.0 to 8.2.3 Confluence Server versions from 8.1.0 to 8.1.4 Confluence Server versions from 8.0.0 to 8.0.4 Confluence Server versions from 7.20.0 to 7.20.3 Confluence Server versions from 7.19.0 to 7.19.17 LTS Confluence Server versions from 7.18.0 to 7.18.3 Confluence Server versions from 7.17.0 to 7.17.5 Bitbucket Data Center and Server versions 7.21.0, 8.9.0, 8.13.0, 8.14.0, 8.15.0, and 8.16.0 **Description** A serialization vulnerability in the logback receiver component part of logback allows an attacker to mount a Denial-Of-Service attack by sending poisoned data. This issue is only exploitable if the logback receiver component is deployed. **Recommendations** For logback version 1.4.11, consider disabling the logback receiver component until a patch is available. For Confluence Data Center and Server versions from 6.0.1 to 8.7.1, upgrade to the latest version or one of the specified supported fixed versions. For Confluence Data Center versions from 8.6.0 to 8.6.2, upgrade to version 8.8.0 or later. For Confluence Data Center versions from 8.5.0 to 8.5.4 LTS, upgrade to version 8.8.0, 8.5.5 LTS, or 8.5.6 LTS. For Confluence Data Center versions from 8.4.0 to 8.4.5, upgrade to version 8.8.0 or 8.5.6 LTS. For Confluence Data Center versions from 8.3.0 to 8.3.4, upgrade to version 8.8.0 or 8.5.6 LTS. For Confluence Data Center versions from 8.2.0 to 8.2.3, upgrade to version 8.8.0 or 8.5.6 LTS. For Confluence Data Center versions from 8.1.0 to 8.1.4, upgrade to version 8.8.0 or 8.5.6 LTS. For Confluence Data Center versions from 8.0.0 to 8.0.4, upgrade to version 8.8.0 or 8.5.6 LTS. For Confluence Data Center versions from 7.20.0 to 7.20.3, upgrade to version 8.8.0 or 8.5.6 LTS. For Confluence Data Center versions from 7.19.0 to 7.19.17 LTS, upgrade to version 8.8.0, 8.5.6 LTS, 7.19.18 LTS, or 7.19.19 LTS. For Confluence Data Center versions from 7.18.0 to 7.18.3, upgrade to version 8.8.0, 8.5.6 LTS, or 7.19.19 LTS. For Confluence Data Center versions from 7.17.0 to 7.17.5, upgrade to version 8.8.0, 8.5.6 LTS, or 7.19.19 LTS. For Confluence Server versions from 8.5.0 to 8.5.4 LTS, upgrade to version 8.5.5 LTS or 8.5.6 LTS. For Confluence Server versions from 8.4.0 to 8.4.5, upgrade to version 8.5.6 LTS. For Confluence Server versions from 8.3.0 to 8.3.4, upgrade to version 8.5.6 LTS. For Confluence Server versions from 8.2.0 to 8.2.3, upgrade to version 8.5.6 LTS. For Confluence Server versions from 8.1.0 to 8.1.4, upgrade to version 8.5.6 LTS. For Confluence Server versions from 8.0.0 to 8.0.4, upgrade to version 8.5.6 LTS. For Confluence Server versions from 7.20.0 to 7.20.3, upgrade to version 8.5.6 LTS. For Confluence Server versions from 7.19.0 to 7.19.17 LTS, upgrade to version 8.5.6 LTS, 7.19.18 LTS, or 7.19.19 LTS. For Confluence Server versions from 7.18.0 to 7.18.3, upgrade to version 8.5.6 LTS or 7.19.19 LTS. For Confluence Server versions from 7.17.0 to 7.17.5, upgrade to version 8.5.6 LTS or 7.19.19 LTS. For Bitbucket Data Center and Server versions 7.21.0, upgrade to a release greater than or equal to 7.21.19. For Bitbucket Data Center and Server versions 8.9.0, upgrade to a release greater than or equal to 8.9.9. For Bitbucket Data Center and Server versions 8.13.0, upgrade to a release greater than or equal to 8.13.5. For Bitbucket Data Center and Server versions 8.14.0, upgrade to a release greater than or equal to 8.14.4. For Bitbucket Data Center versions 8.15.0, upgrade to a release greater than or equal to 8.15.3. For Bitbucket Data Center versions 8.16.0, upgrade to a release greater than or equal to 8.16.2.

**Name of the Vulnerable Software and Affected Versions** Apache Commons Compress versions 1.22 through 1.23 **Description** The issue is related to uncontrolled resource consumption due to insufficient input validation when processing TAR archive headers. This can be exploited by a remote attacker to cause a denial of service. The estimated number of potentially affected devices is not specified. **Recommendations** For Apache Commons Compress versions 1.22 through 1.23, update to version 1.24.0 or later to resolve the issue. As a temporary workaround, consider restricting the processing of TAR archives from untrusted sources to minimize the risk of exploitation.

**Nome do software vulnerável e versões afetadas** Oracle Database Server, versões 18c a 19c **Descrição** O problema está relacionado à validação insuficiente de entradas no componente Advanced Networking Option do Oracle Database Server, permitindo que um invasor não autenticado com acesso à rede via Oracle Net comprometa o componente. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos, resultando potencialmente na tomada de controle da Opção de Rede Avançada. **Recomendações** Para as versões 18c e 19c, atualize para uma versão que inclua a correção para este problema, a fim de evitar uma possível exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Cisco Webex Event Center (affected versions not specified) Cisco Webex Meeting Center (affected versions not specified) Cisco Webex Support Center (affected versions not specified) Cisco Webex Training Center (affected versions not specified) **Description** A vulnerability in the web interface of the Cisco Webex products could allow an unauthenticated, remote attacker to guess account usernames due to missing CAPTCHA protection in certain URLs. An attacker could exploit this by sending a crafted request to the web interface, potentially allowing them to determine if a given username is valid and find the real name of the user. **Recommendations** For Cisco Webex Event Center, consider implementing CAPTCHA protection for all URLs as a temporary workaround until a patch is available. For Cisco Webex Meeting Center, restrict access to sensitive information to minimize the risk of exploitation. For Cisco Webex Support Center, avoid using vulnerable URLs in the web interface until the issue is resolved. For Cisco Webex Training Center, disable any features that rely on username validation until a fix is provided. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Jenkins Credentials Plugin versions 2.1.18 and earlier **Description** The issue allows users with permission to create or update credentials to confirm the existence of files on the Jenkins master with an attacker-specified path and obtain the certificate content of files containing a PKCS#12 certificate. This can lead to information leakage about files and directories. An attacker can exploit this to create or update credentials and gain access to files containing a PKCS#12 certificate. **Recommendations** For Jenkins Credentials Plugin versions 2.1.18 and earlier, update to a version later than 2.1.18 to resolve the issue. At the moment, there is no information about other specific fixes for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Amazon Fire OS versions prior to 5.3.6.4 **Description** The issue allows a man-in-the-middle attack against HTTP requests for "Terms of Use" and Privacy pages. **Recommendations** For Amazon Fire OS versions prior to 5.3.6.4, update to version 5.3.6.4 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Android versions 1.0 through 9.0 **Description** The issue concerns Insecure Permissions. **Recommendations** For Android versions 1.0 through 9.0, update to a version with secure permissions to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Android versions 7.0 through 9.0 **Description** The issue concerns information disclosure when WiFi is switched, involving the `sendNetworkStateChangeBroadcast` function of `WifiStateMachine.java`. This function broadcasts an intent that includes detailed WiFi network information, potentially leading to information disclosure without requiring execution privileges. User interaction is not necessary for exploitation. **Recommendations** For Android versions 7.0 through 9.0, consider restricting access to the WiFi network information broadcast by the `sendNetworkStateChangeBroadcast` function of `WifiStateMachine.java` to minimize the risk of information disclosure. As a temporary workaround, consider disabling the `sendNetworkStateChangeBroadcast` function until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Samsung Display Solutions App versions prior to 3.02 **Description** The issue allows man-in-the-middle attackers to spoof B2B content by leveraging the failure to use encryption during information transmission. **Recommendations** For versions prior to 3.02, update to version 3.02 or later to resolve the issue.

Name of the Vulnerable Software and Affected Versions: Google Chrome OS versions prior to 62.0.3202.74 Description: The issue is related to an inappropriate implementation in ChromeVox, which allowed a remote attacker in a privileged network position to observe or tamper with certain cleartext HTTP requests. Recommendations: For versions prior to 62.0.3202.74, update to version 62.0.3202.74 or later to resolve the issue.

Name of the Vulnerable Software and Affected Versions: DuoLingo TinyCards version 1.0 and earlier Description: The issue allows remote attackers to spoof content and achieve remote code execution via a man-in-the-middle attack due to the use of unencrypted HTTP. Recommendations: For DuoLingo TinyCards version 1.0 and earlier, update to version 1.0 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Private Internet Access (PIA) versions prior to 1.3.3.1 **Description** The issue allows remote attackers to cause a denial of service, resulting in an application crash. This can be achieved by providing a large VPN server-list file. **Recommendations** For versions prior to 1.3.3.1, update to version 1.3.3.1 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Zoho Site24x7 Mobile Network Poller version 1.1.4 and earlier **Description** The issue allows man-in-the-middle attackers to spoof servers and obtain sensitive information via a self-signed certificate because the application does not verify X.509 certificates from SSL servers. **Recommendations** For versions prior to 1.1.5, update to version 1.1.5 or later to resolve the issue.