Oracle Application Server cross-site scripting és SQL befecskendezés sérülékenységek

CH azonosító

CH-6255

Angol cím

Oracle Application Server Cross-Site Scripting and SQL Injection Vulnerabilities

Felfedezés dátuma

2012.01.17.

Súlyosság

Közepes

Érintett rendszerek

Application Server
Oracle

Érintett verziók

Oracle Application Server 10.1.3.5.0

Összefoglaló

Az Oracle Application Server sérülékenységeit jelentették, amelyeket kihasználva támadók SQL befecskendezéses és cross-site scripting (CSS/XSS) támadást indíthatnak.

Leírás

  1. Az idc/idcplg részére átadott bemeneti adat nincs megfelelően ellenőrizve. Ezt kihasználva SQL befecskendezéses támadás indítható.
    Bővebb információ:
    CERT-Hungary CH-6254 1. pont
  2. Az URL (pl. idc/help/user_help/wwhelp/wwhimpl/common/html/frameset.htm) után fűzött átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngésző munkamenetében, az érintett oldallal kapcsolatosan.
  3. Az idc/idcplg részére átadott bemeneti adat nincs megfelelően ellenőrizve. Ezt kihasználva cross-site scripting (CSS/XSS) támadás indítható.
    Bővebb információ:
    CERT-Hungary CH-6254 3. pont

Megoldás

Telepítse a javítócsomagokat