TrustKeeper Scan Engine Update for March 20, 2020

Summary

The latest update to the TrustKeeper scan engine that powers our Trustwave Vulnerability Management product (including both internal and external vulnerability scanning) is now available. Enjoy!

New Vulnerability Test Highlights

Some of the more interesting vulnerability tests we added recently are as follows:

Atlassian

• Atlassian Jira Comment Permissions Access Control (CVE-2019-20106)
• Atlassian Jira Importers Plugin Information Disclosure Vulnerability (CVE-2019-20403)
• Atlassian Jira JMX monitoring flag Cross-site request forgery (CVE-2019-20405)
• Atlassian Jira on Windows DLL hijacking (CVE-2019-20400)
• Atlassian Jira RESTAPI Improper authorization (CVE-2019-20404)
• Atlassian Jira Setup Resources Cross-site request forgery (CVE-2019-20401)
• Atlassian Jira Support Files Improper Authorization (CVE-2019-20402)
• Atlassian Jira VerifyPopServerConnection!add.jspa Cross-Site Request Forgery Vulnerability (CVE-2019-20099)
• Atlassian Jira VerifySmtpServerConnection!add.jspa Cross-SiteRequest Forgery Vulnerability (CVE-2019-20098)

Cisco

• Cisco ASA AnyConnect VPN Broken Authentication Vulnerability (CSCtq58884) (CVE-2011-2054)

ClamAV

• Ubuntu ClamAV vulnerability(USN-4280-1) (CVE-2020-3123)

Joomla

• Joomla Core com_templates Image Actions Cross Site Request Forgery (20200301) (CVE-2020-10241)
• Joomla Core com_users Identifier Collisions (20200304) (CVE-2020-10240)
• Joomla Core Protostar and Beez3 Cross-Site Scripting (20200302) (CVE-2020-10242)

Microsoft

• Windows SMBv3 Client/Server Remote Code Execution Vulnerability (SMBGhost/EternalDarkness) (CVE-2020-0796)
• Microsoft Exchange Server Spoofing Vulnerability (2020-Mar) (CVE-2020-0903)
• Microsoft Windows March 2020 Security Updates Missing (CVE-2020-0898, CVE-2020-0786, CVE-2020-0876, CVE-2020-0874, CVE-2020-0863, CVE-2019-1226, CVE-2019-1225, CVE-2019-1224, CVE-2020-0879, CVE-2020-0854, CVE-2020-0825, CVE-2020-0812, CVE-2020-0897, CVE-2020-0896, CVE-2020-0887, CVE-2020-0885, CVE-2020-0883, CVE-2020-0882, CVE-2020-0881, CVE-2020-0880, CVE-2020-0877, CVE-2020-0871, CVE-2020-0869, CVE-2020-0868, CVE-2020-0867, CVE-2020-0866, CVE-2020-0865, CVE-2020-0864, CVE-2020-0861, CVE-2020-0860, CVE-2020-0859, CVE-2020-0858, CVE-2020-0857, CVE-2020-0853, CVE-2020-0849, CVE-2020-0848, CVE-2020-0847, CVE-2020-0845, CVE-2020-0844, CVE-2020-0843, CVE-2020-0842, CVE-2020-0841, CVE-2020-0840, CVE-2020-0834, CVE-2020-0833, CVE-2020-0832, CVE-2020-0831, CVE-2020-0830, CVE-2020-0829, CVE-2020-0828, CVE-2020-0827, CVE-2020-0826, CVE-2020-0824, CVE-2020-0823, CVE-2020-0822, CVE-2020-0820, CVE-2020-0819, CVE-2020-0816, CVE-2020-0814, CVE-2020-0813, CVE-2020-0811, CVE-2020-0810, CVE-2020-0809, CVE-2020-0808, CVE-2020-0807, CVE-2020-0806, CVE-2020-0804, CVE-2020-0803, CVE-2020-0802, CVE-2020-0801, CVE-2020-0800, CVE-2020-0799, CVE-2020-0798, CVE-2020-0797, CVE-2020-0793, CVE-2020-0791, CVE-2020-0788, CVE-2020-0787, CVE-2020-0785, CVE-2020-0783, CVE-2020-0781, CVE-2020-0780, CVE-2020-0779, CVE-2020-0778, CVE-2020-0777, CVE-2020-0776, CVE-2020-0775, CVE-2020-0774, CVE-2020-0773, CVE-2020-0772, CVE-2020-0771, CVE-2020-0770, CVE-2020-0769, CVE-2020-0768, CVE-2020-0763, CVE-2020-0762, CVE-2020-0690, CVE-2020-0684, CVE-2020-0645)

MySQL

• MySQL Critical Patch Update - January 2020 (CVE-2020-2572, CVE-2020-2694, CVE-2020-2584, CVE-2020-2679, CVE-2020-2660, CVE-2020-2588, CVE-2020-2580, CVE-2020-2589, CVE-2020-2577, CVE-2020-2627, CVE-2020-2686, CVE-2020-2579)

PHP

• PHP buildFromIterator() Insecure File Permissions Vulnerability (CVE-2020-7063)
• PHP phar_extract_file Out-of-Bounds Read Vulnerability (CVE-2020-7061)
• PHP Session Upload Progress Null Pointer Dereference (CVE-2020-7062)

PostgreSQL

• Ubuntu PostgreSQL vulnerability (USN-4282-1) (CVE-2020-1720)

ProFTPD

• ProFTP Dalloc_pool Use After Free Vulnerability (CVE-2020-9273)
• ProFTP Dmod_capOut-of-Bounds Read Vulnerability (CVE-2020-9272)

How to Update?

All Trustwave customers using the TrustKeeper Scan Engine receive the updates automatically as soon as an update is available. No action is required.