Oracle Application Server cross-site scripting és SQL befecskendezés sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Oracle Application Server 10.1.3.5.0

Összefoglaló

Az Oracle Application Server sérülékenységeit jelentették, amelyeket kihasználva támadók SQL befecskendezéses és cross-site scripting (CSS/XSS) támadást indíthatnak.

Leírás

1. Az idc/idcplg részére átadott bemeneti adat nincs megfelelően ellenőrizve. Ezt kihasználva SQL befecskendezéses támadás indítható.
   Bővebb információ:
   CERT-Hungary CH-6254 1. pont
2. Az URL (pl. idc/help/user_help/wwhelp/wwhimpl/common/html/frameset.htm) után fűzött átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngésző munkamenetében, az érintett oldallal kapcsolatosan.
3. Az idc/idcplg részére átadott bemeneti adat nincs megfelelően ellenőrizve. Ezt kihasználva cross-site scripting (CSS/XSS) támadás indítható.
   Bővebb információ:
   CERT-Hungary CH-6254 3. pont

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.oracle.com
CERT-Hungary CH-6254
SECUNIA 47616
CVE-2012-0083 - NVD CVE-2012-0083
CVE-2012-0084 - NVD CVE-2012-0084
CVE-2012-0085 - NVD CVE-2012-0085