Codeplutos

**Nome do software vulnerável e versões afetadas** Versões do Grails anteriores à 3.3.15 Versões do Grails 4.x anteriores à 4.1.1 Versões do Grails 5.x anteriores à 5.1.9 Versões do Grails 5.2.x anteriores à 5.2.1 **Descrição** Foi descoberta uma vulnerabilidade na lógica de vinculação de dados do Grails que permite a execução remota de código em uma aplicação Grails. Essa exploração requer que a aplicação esteja rodando no Java 8, seja implantada como um WAR em um contêiner de servlets ou como um JAR executável. Um invasor remoto pode executar código ao obter acesso ao carregador de classes. **Recomendações** Para versões do Grails anteriores à 3.3.15, atualize para a versão 3.3.15 ou posterior. Para versões do Grails 4.x anteriores à 4.1.1, atualize para a versão 4.1.1 ou posterior. Para versões do Grails 5.x anteriores à 5.1.9, atualize para a versão 5.1.9 ou posterior. Para versões do Grails 5.2.x anteriores à 5.2.1, atualize para a versão 5.2.1 ou posterior.

**Nome do software vulnerável e versões afetadas** Oracle WebLogic Server, versões 12.2.1.3.0 a 12.2.1.4.0 Oracle WebLogic Server, versão 14.1.1.0.0 **Descrição** A vulnerabilidade existe devido à validação insuficiente de entradas no componente Coherence Container do Oracle WebLogic Server, permitindo que um invasor remoto comprometa a confidencialidade, integridade e disponibilidade do servidor por meio dos protocolos T3 e IIOP. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle WebLogic Server. **Recomendações** Para as versões 12.2.1.3.0 a 12.2.1.4.0 do Oracle WebLogic Server, atualize para uma versão que inclua a correção para este problema. Para a versão 14.1.1.0.0 do Oracle WebLogic Server, atualize para uma versão que inclua a correção para este problema. Como solução alternativa temporária, considere restringir o acesso aos protocolos T3 e IIOP para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Oracle WebLogic Server, versões 10.3.6.0.0 a 14.1.1.0.0 **Descrição** O problema está relacionado ao componente Samples do Oracle WebLogic Server e é causado por um controle de acesso inadequado. Ele permite que um invasor não autenticado com acesso à rede via protocolos IIOP e T3 comprometa o servidor. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle WebLogic Server. **Recomendações** Para as versões 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0, atualize para uma versão que inclua a correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Oracle WebLogic Server, versões 10.3.6.0.0 a 14.1.1.0.0 **Descrição** O problema está relacionado a uma vulnerabilidade no produto Oracle WebLogic Server, especificamente no componente Console. Essa vulnerabilidade permite que um invasor não autenticado com acesso à rede via HTTP comprometa o Oracle WebLogic Server, podendo resultar em uma tomada de controle. A vulnerabilidade é facilmente explorável e pode afetar a confidencialidade, a integridade e a disponibilidade do servidor. Ela está associada a erros no gerenciamento da geração de código e pode ser explorada por meio de solicitações HTTP. **Recomendações** Para as versões 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0, atualize para uma versão que inclua o patch de emergência lançado pela Oracle para corrigir essa falha crítica. Como solução alternativa temporária, considere restringir o acesso ao componente Console até que um patch seja aplicado. Evite usar o componente Console vulnerável nas versões afetadas do Oracle WebLogic Server até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Oracle WebLogic Server, versões 12.2.1.3.0 a 12.2.1.4.0 Oracle WebLogic Server, versão 14.1.1.0.0 **Descrição** O problema está relacionado à validação insuficiente de entradas no componente Core do Oracle WebLogic Server, permitindo que um invasor não autenticado com acesso à rede via IIOP e protocolos T3 comprometa o servidor. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle WebLogic Server. **Recomendações** Para as versões 12.2.1.3.0 a 12.2.1.4.0 do Oracle WebLogic Server, atualize para uma versão que inclua a correção para este problema. Para a versão 14.1.1.0.0 do Oracle WebLogic Server, atualize para uma versão que inclua a correção para este problema. Como solução alternativa temporária, considere restringir o acesso aos protocolos IIOP e T3 até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões 3.2.0 a 3.2.5 do Wireshark **Descrição** O problema está relacionado ao componente dissector do protocolo Kafka no Wireshark, que pode travar devido a um erro de liberação dupla durante a descompressão LZ4. Isso poderia permitir que um invasor remoto causasse uma negação de serviço. O problema foi resolvido modificando o arquivo epan/dissectors/packet-kafka.c para evitar o erro de liberação dupla. **Recomendações** Para as versões 3.2.0 a 3.2.5 do Wireshark, atualize o software para uma versão em que o problema tenha sido corrigido, especificamente aplicando as alterações feitas no arquivo epan/dissectors/packet-kafka.c para evitar o erro de liberação dupla durante a descompressão LZ4. Como solução temporária, considere desativar o dissector do protocolo Kafka até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do Redis anteriores à 6.0.3 **Descrição** O problema é causado por um estouro de inteiro na função `getnum`, o que permite que invasores com permissão para executar código Lua em uma sessão do Redis, dependendo do contexto, provoquem uma negação de serviço ou, possivelmente, contornem as restrições previstas da sandbox. Isso pode ser feito fornecendo um número grande que provoque um estouro de buffer baseado em pilha. O problema existe devido a uma regressão de uma falha já conhecida. **Recomendações** Para versões anteriores à 6.0.3, atualize para a versão 6.0.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de código Lua em sessões do Redis para minimizar o risco de exploração.