From security em unicamp.br  Thu Jul 16 10:02:37 2015
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Thu, 16 Jul 2015 10:02:37 -0300
Subject: [SECURITY-L] =?iso-8859-1?q?=5Bcais=40cais=2Ernp=2Ebr=3A_CAIS-Ale?=
 =?iso-8859-1?q?rta=3A_Resumo_dos_Boletins_de_Seguran=E7a__da_Microsoft_-_?=
 =?iso-8859-1?q?Julho/2015=5D?=
Message-ID: <20150716130237.GD16584@unicamp.br>

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

Date: Wed, 15 Jul 2015 17:26:40 -0300 (BRT)
From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
To: pop-seg em cais.rnp.br, rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Subject: CAIS-Alerta: Resumo dos Boletins de Segurança da Microsoft - Julho/2015

Prezados,

A Microsoft publicou 14 boletins de segurança em 14 de julho de 2015 que 
abordam ao todo 59 vulnerabilidades em produtos da empresa. As explorações 
destas vulnerabilidades permitem execução de código remota e elevação de 
privilégio.
Até o momento da publicação deste alerta não foram divulgados códigos de 
exploração para as vulnerabilidades listadas.


Severidade

Crítica

· MS15-065 - Atualização de segurança para Internet Explorer                 
· MS15-066 - Vulnerabilidade no VBScript Scripting Engine pode 
             permitir execução remota de código
· MS15-067 - Vulnerabilidade no RDP pode permitir execução remota 
             de código
· MS15-068 - Vulnerabilidades no Windows Hyper-V pode permitir 
             execução remota de código
 

Importante

· MS15-058 - Vulnerabilidades no SQL Server pode permitir execução 
             remota de código
· MS15-069 - Vulnerabilidades no Windows podem permitir execução 
             remota de código
· MS15-070 - Vulnerabilidades no Microsoft Office podem permitir 
             execução remota de código
· MS15-071 - Vulnerabilidade no Netlogon pode permitir elevação de 
             privilégio
· MS15-072 - Vulnerabilidade no Windows Graphics Component pode 
             permitir elevação de privilégio
· MS15-073 - Vulnerabilidade no Windows Kernel-Mode Driver pode 
             permitir elevação de privilégio
· MS15-074 - Vulnerabilidade no Windows Installer Service pode 
             permitir elevação de privilégio
· MS15-075 - Vulnerabilidades no OLE podem permitir elevação de 
             privilégio
· MS15-076 - Vulnerabilidade no Windows Remote Procedure Call pode 
             permitir elevação de privilégio
· MS15-077 - Vulnerabilidade in ATM Font Driver pode permitir 
             elevação de privilégio
 

Moderada

Nenhum boletim

 

Baixa

Nenhum boletim

 

O sistema de classificação de severidade das vulnerabilidades adotado pelo 
CAIS é o da própria Microsoft. O CAIS recomenda que se apliquem as 
correções para vulnerabilidades classificadas como crítica e importante. 
No caso de correções para vulnerabilidades classificadas como moderadas o 
CAIS recomenda que ao menos as recomendações de mitigação sejam seguidas.

· Crítica - Vulnerabilidades cuja exploração possa permitir a 
propagação de um worm sem a necessidade de interação com o usuário.
· Importante - Vulnerabilidades cuja exploração possa resultar no 
comprometimento de confidencialidade, integridade ou disponibilidade de 
dados de usuários ou a integridade ou disponibilidade de recursos de 
processamento.
· Moderada - exploração é mitigada significativamente por fatores 
como configuração padrão, auditoria ou dificuldade de exploração.
· Baixa - uma vulnerabilidade cuja exploração seja extremamente 
difícil ou cujo impacto seja mínimo.

 

Correções disponíveis

Recomenda-se atualizar os sistemas para as versões disponíveis em:

Microsoft Update
https://www.update.microsoft.com/microsoftupdate

Microsoft Download Center
http://www.microsoft.com/en-us/download/default.aspx

 

Mais informações

Resumo do Boletim de Segurança da Microsoft de julho de 2015
https://technet.microsoft.com/pt-BR/library/security/ms15-jul.aspx

Microsoft TechCenter de Segurança
https://technet.microsoft.com/pt-br/security

Microsoft Security Response Center - MSRC
https://technet.microsoft.com/pt-br/security/dn440717

Microsoft Security Research & Defense - MSRD
http://blogs.technet.com/b/srd/

Central de Proteção e Segurança Microsoft
https://www.microsoft.com/pt-br/security/default.aspx

 

Identificador CVE (http://cve.mitre.org):

CVE-2015-1761,CVE-2015-2389,CVE-2015-2411,CVE-2015-2368    
CVE-2015-2363,CVE-2015-1762,CVE-2015-2390,CVE-2015-2412    
CVE-2015-2369,CVE-2015-2365,CVE-2015-1763,CVE-2015-2391    
CVE-2015-2413,CVE-2015-2375,CVE-2015-2366,CVE-2015-1729
CVE-2015-2397,CVE-2015-2414,CVE-2015-2376,CVE-2015-2367
CVE-2015-1733,CVE-2015-2398,CVE-2015-2419,CVE-2015-2377    
CVE-2015-2381,CVE-2015-1738,CVE-2015-2401,CVE-2015-2421    
CVE-2015-2378,CVE-2015-2382,CVE-2015-1767,CVE-2015-2402    
CVE-2015-2422,CVE-2015-2379,CVE-2015-2371,CVE-2015-2372
CVE-2015-2403,CVE-2015-2425,CVE-2015-2380,CVE-2015-2416
CVE-2015-2383,CVE-2015-2404,CVE-2015-2372,CVE-2015-2415    
CVE-2015-2417,CVE-2015-2384,CVE-2015-2406,CVE-2015-2373    
CVE-2015-2424,CVE-2015-2370,CVE-2015-2385,CVE-2015-2408    
CVE-2015-2361,CVE-2015-2374,CVE-2015-2387,CVE-2015-2388
CVE-2015-2410,CVE-2015-2362,CVE-2015-2364

O CAIS recomenda que os administradores mantenham seus sistemas e 
aplicativos sempre atualizados, de acordo com as últimas versões e 
correções oferecidas pelos fabricantes.

Os alertas do CAIS também são oferecidos no Twitter:

Siga @caisrnp


################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.rnp.br/servicos/seguranca  #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.cais.rnp.br/cais-pgp.key   #
################################################################


----- End forwarded message -----



From security em unicamp.br  Wed Jul 22 16:53:39 2015
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Wed, 22 Jul 2015 16:53:39 -0300
Subject: [SECURITY-L] [security-news@drupal.org: [Security-news] OSF for
 Drupal - Critical - Multiple vulnerabilities - SA-CONTRIB-2015-134]
Message-ID: <20150722195339.GC6298@unicamp.br>

----- Forwarded message from security-news em drupal.org -----

Date: Wed, 22 Jul 2015 19:26:07 +0000 (UTC)
From: security-news em drupal.org
To: security-news em drupal.org
Subject: [Security-news] OSF for Drupal - Critical - Multiple vulnerabilities - SA-CONTRIB-2015-134
X-Mailer: Drupal

View online: https://www.drupal.org/node/2537860

   * Advisory ID: DRUPAL-SA-CONTRIB-2015-134
   * Project: OSF for Drupal [1]     (third-party module)
   * Version: 7.x
   * Date: 2015-July-22
   * Security risk: 15/25 ( Critical)
     AC:Basic/A:None/CI:Some/II:Some/E:Theoretical/TD:Default [2]
   * Vulnerability: Cross Site Scripting, Access bypass, Cross Site Request
     Forgery

-------- DESCRIPTION
---------------------------------------------------------

The Open Semantic Framework (OSF) for Drupal is a middleware layer that
allows structured data (RDF) and associated vocabularies (ontologies) to
"drive" tailored tools and data displays within Drupal.

The module is vulnerable to reflected Cross Site Scripting (XSS) because it
did not sufficiently filter user input values in some administration pages.
An attacker could exploit this vulnerability by making other users visit a
specially-crafted URL. Only sites with OSF Ontology module enabled are
affected.

Additionally, the module is vulnerable to Arbitrary file deletion. A
malicious user can cause an administrator to delete files by getting their
browser to make a request to a specially-crafted URL. Only sites with OSF
Ontology and OSF Import modules enabled are affected.

Also, some forms were vulnerable to Cross Site Request Forgery (CSRF). An
attacker could create new OSF datasets by getting an administrator's browser
to make a request to a specially-crafted URL. Only sites with OSF Import
module enabled are affected.


-------- CVE IDENTIFIER(S) ISSUED
--------------------------------------------

   * /A CVE identifier [3] will be requested, and added upon issuance, in
     accordance with Drupal Security Team processes./

-------- VERSIONS AFFECTED
---------------------------------------------------

   * OSF 7.x-3.x versions prior to 7.x-3.1.

Drupal core is not affected. If you do not use the contributed OSF for Drupal
[4] module, there is nothing you need to do.

-------- SOLUTION
------------------------------------------------------------

Install the latest version:

   * If you use the OSF for Drupal module for Drupal 7.x, upgrade to OSF
     7.x-3.1 [5]

Also see the OSF for Drupal [6] project page.

-------- REPORTED BY
---------------------------------------------------------

   * Pere Orga [7] of the Drupal Security Team

-------- FIXED BY
------------------------------------------------------------

   * Frederick Giasson [8], the module maintainer

-------- COORDINATED BY
------------------------------------------------------

   * Pere Orga [9] of the Drupal Security Team

-------- CONTACT AND MORE INFORMATION
----------------------------------------

The Drupal security team can be reached at security at drupal.org or via the
contact form at https://www.drupal.org/contact [10].

Learn more about the Drupal Security team and their policies [11], writing
secure code for Drupal [12], and  securing your site [13].

Follow the Drupal Security Team on Twitter at
https://twitter.com/drupalsecurity [14]


[1] https://www.drupal.org/project/osf
[2] https://www.drupal.org/security-team/risk-levels
[3] http://cve.mitre.org/
[4] https://www.drupal.org/project/osf
[5] https://www.drupal.org/node/2537120
[6] https://www.drupal.org/project/osf
[7] https://www.drupal.org/user/2301194
[8] https://www.drupal.org/user/512874
[9] https://www.drupal.org/user/2301194
[10] https://www.drupal.org/contact
[11] https://www.drupal.org/security-team
[12] https://www.drupal.org/writing-secure-code
[13] https://www.drupal.org/security/secure-configuration
[14] https://twitter.com/drupalsecurity

_______________________________________________
Security-news mailing list
Security-news em drupal.org
Unsubscribe at https://lists.drupal.org/mailman/listinfo/security-news

----- End forwarded message -----