Zhiyi Zhang

**Name of the Vulnerable Software and Affected Versions** Google Chrome versions prior to 120.0.6099.109 **Description** The issue is related to a type confusion in the V8 JavaScript engine, which can be exploited by a remote attacker using a specially crafted HTML page, potentially leading to heap corruption or arbitrary code execution. The estimated severity of this issue is high. It has been reported that Google paid out $50,000 in bug bounties related to this and other vulnerabilities. **Recommendations** For Google Chrome versions prior to 120.0.6099.109, update to version 120.0.6099.109 or later to resolve the issue. As a temporary workaround, consider restricting access to potentially vulnerable web pages until the update is applied. Avoid using the `Promise.any` function in sensitive contexts until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** Google Chrome versions prior to 110.0.5481.177 Microsoft Edge (affected versions not specified) **Description** The issue is related to an integer overflow in the PDF viewer function, which could allow a remote attacker to exploit heap corruption via a crafted PDF file. This may impact the confidentiality, integrity, and availability of protected information. **Recommendations** For Google Chrome versions prior to 110.0.5481.177, update to version 110.0.5481.177 or later to resolve the issue. For Microsoft Edge, at the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Servidor DNS do Windows (versões afetadas não especificadas) **Descrição** O problema está relacionado a erros no processamento de solicitações DNS. Isso permite que um invasor remoto provoque uma negação de serviço utilizando uma solicitação DNS especialmente criada para esse fim. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Servidor DNS do Windows (versões afetadas não especificadas) **Descrição** O problema está relacionado a um gerenciamento incorreto da geração de código no componente Servidor DNS do Windows, o que pode ser explorado por um invasor remoto para causar uma negação de serviço. Isso pode afetar o funcionamento do sistema. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Versões do macOS anteriores à 10.15.6 Versões da Atualização de Segurança anteriores à 2020-004 para Mojave e High Sierra Descrição: Um usuário local pode provocar o encerramento inesperado do sistema ou ler a memória do kernel devido a um problema de leitura fora dos limites, o qual foi corrigido com uma validação de entrada aprimorada. Recomendações: Para versões do macOS anteriores à 10.15.6, atualize para o macOS Catalina 10.15.6. Para o Mojave, aplique a Atualização de Segurança 2020-004. Para o High Sierra, aplique a Atualização de Segurança 2020-004.

**Nome do software vulnerável e versões afetadas** Oracle WebLogic Server, versões 10.3.6.0.0 a 14.1.1.0.0 **Descrição** O problema está relacionado a uma vulnerabilidade no produto Oracle WebLogic Server, especificamente no componente Console. Essa vulnerabilidade permite que um invasor não autenticado com acesso à rede via HTTP comprometa o Oracle WebLogic Server, podendo resultar em uma tomada de controle. A vulnerabilidade é facilmente explorável e pode afetar a confidencialidade, a integridade e a disponibilidade do servidor. Ela está associada a erros no gerenciamento da geração de código e pode ser explorada por meio de solicitações HTTP. **Recomendações** Para as versões 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0, atualize para uma versão que inclua o patch de emergência lançado pela Oracle para corrigir essa falha crítica. Como solução alternativa temporária, considere restringir o acesso ao componente Console até que um patch seja aplicado. Evite usar o componente Console vulnerável nas versões afetadas do Oracle WebLogic Server até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do macOS anteriores à 10.15.1 Versões da Atualização de Segurança anteriores à 2019-001 Versões da Atualização de Segurança anteriores à 2019-006 **Descrição** Foi corrigido um problema de corrupção de memória por meio de um tratamento aprimorado da memória, o que permitia que um aplicativo pudesse executar código arbitrário com privilégios de sistema. **Recomendações** Para versões do macOS anteriores à 10.15.1, atualize para o macOS Catalina 10.15.1 ou posterior. Para sistemas que requerem a Atualização de Segurança 2019-001 ou 2019-006, aplique a respectiva atualização de segurança para resolver o problema.

**Nome do software vulnerável e versões afetadas** Microsoft Edge (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma falha de execução remota de código no mecanismo de script ChakraCore, causada por um estouro de buffer na memória. Isso poderia permitir que um invasor executasse código arbitrário com os mesmos direitos de usuário que o usuário atual, utilizando uma página da Web especialmente criada para esse fim. Se o usuário atual tiver direitos administrativos, o invasor poderia assumir o controle do sistema afetado, instalar programas, visualizar ou modificar dados, ou criar novas contas com direitos de usuário completos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Windows (versões afetadas não especificadas) **Descrição** O problema está relacionado a erros no tratamento de objetos na memória, especificamente na função Compartilhamento de Conexão com a Internet (ICS) do sistema operacional Windows. Isso pode permitir que um invasor remoto execute código arbitrário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** macOS versions prior to 10.14.4 **Description** A buffer overflow issue was addressed through improved size validation, which could allow a malicious application to execute arbitrary code with kernel privileges. **Recommendations** For versions prior to 10.14.4, update to macOS Mojave 10.14.4 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Microsoft Edge (affected versions not specified) **Description** The issue is related to errors in handling objects in memory by the ChakraCore JavaScript engine. It could allow a remote attacker to execute arbitrary code using a specially crafted web page. The vulnerability can corrupt memory, enabling an attacker to gain the same user rights as the current user. If the current user has administrative rights, the attacker could take control of the affected system, install programs, view, change, or delete data, or create new accounts with full user rights. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Windows (affected versions not specified) **Description** The issue is related to the improper handling of objects in memory by the Windows kernel, which can lead to the disclosure of protected information. An attacker could exploit this by using a specially crafted application to reveal sensitive information. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Microsoft Edge (affected versions not specified) **Description** The issue is related to errors in handling objects in memory by the ChakraCore JavaScript engine. This could allow a remote attacker to execute arbitrary code, potentially gaining the same user rights as the current user. If the current user has administrative rights, the attacker could take control of the affected system, enabling them to install programs, view, change, or delete data, or create new accounts with full user rights. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Safari versions prior to 12.1 iOS versions prior to 12.2 tvOS versions prior to 12.2 watchOS versions prior to 5.2 iTunes versions prior to 12.9.4 for Windows iCloud for Windows versions prior to 7.11 **Description** The issue is related to insufficient input validation in the WebKit display module. Exploitation of this issue may allow a remote attacker to gain unauthorized access to protected information. Processing maliciously crafted web content may result in the disclosure of process memory. **Recommendations** For Safari versions prior to 12.1, update to Safari 12.1 or later. For iOS versions prior to 12.2, update to iOS 12.2 or later. For tvOS versions prior to 12.2, update to tvOS 12.2 or later. For watchOS versions prior to 5.2, update to watchOS 5.2 or later. For iTunes versions prior to 12.9.4 for Windows, update to iTunes 12.9.4 for Windows or later. For iCloud for Windows versions prior to 7.11, update to iCloud for Windows 7.11 or later.

**Name of the Vulnerable Software and Affected Versions** ChakraCore (affected versions not specified) **Description** An information disclosure issue exists due to improper memory handling by Chakra, potentially allowing an attacker to gain information that could further compromise a user's computer or data. To exploit this, an attacker must be aware of the memory address where an object was created. The issue is related to errors in handling internal data. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Name of the Vulnerable Software and Affected Versions: Oracle WebLogic Server versions 10.3.6.0, 12.1.3.0, 12.2.1.3 Description: The issue is related to insufficient access control in the WLS Core Components subcomponent of Oracle WebLogic Server, allowing an unauthenticated attacker with network access via the T3 protocol to compromise the server. Successful attacks can result in the takeover of Oracle WebLogic Server. Recommendations: For versions 10.3.6.0, 12.1.3.0, and 12.2.1.3, consider restricting access to the T3 protocol until a patch is available. As a temporary workaround, limit network access to the Oracle WebLogic Server to minimize the risk of exploitation. Avoid using the Oracle WebLogic Server for critical applications until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.