Oracle Fusion Middleware sérülékenységek

CH azonosító

CH-6254

Angol cím

Oracle Fusion Middleware Multiple Vulnerabilities

Felfedezés dátuma

2012.01.17.

Súlyosság

Közepes

Érintett rendszerek

Fusion Middleware
Oracle

Érintett verziók

Oracle Fusion Middleware 11.1.1.3.0 - 11.1.1.5.0

Összefoglaló

Az Oracle sérülékenységeit jelentették, amelyeket kihasználva rosszindulatú felhasználók bizalmas adatokhoz juthatnak és módosíthatnak bizonyos adatokat, valamint támadók SQL befecskendezéses és cross-site scripting (CSS/XSS) támadást indíthatnak, bizalmas adatokhoz juthatnak és szolgáltatás megtagadást (DoS – Denial of Service) okozhatnak.

Leírás

  1. Az idc/idcplg részére a “SortField”, “SortOrder”, és “QueryText” paraméterekkel átadott bemeneti adatok (ha az “IdcService” értéke “GET_SEARCH_RESULTS”) nincs megfelelően ellenőrizve, mielőtt SQL lekérdezésekben használnák. Ez kihasználható az SQL lekérdezések módosítására tetszőleges kód befecskendezésével.
  2. Az Oracle Web Services Manager komponens Web Services Security alkomponensének meghatározatlan hibáját kihasználva bejelentkezett felhasználók hozzáférhetnek bizonyos adatokhoz és módosíthatják azokat.
  3. Az Oracle Web Services Manager komponens Web Services Security alkomponensének egy hibáját kihasználva összeomlás idézhető elő.
  4. Az Oracle Web Services Manager komponens Web Services Security alkomponensének egy hibáját kihasználva bizonyos adatokhoz lehet hozzájutni.
  5. Az idc/idcplg részére pl. az “sltPageTitle” és “redirectTitle” paraméterekkel átadott bemeneti adatok nincsenek megfelelően ellenőrizve, mielőtt visszakerülnek a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngésző munkamenetében, az érintett oldallal kapcsolatosan.

Megoldás

Telepítse a javítócsomagokat