Oracle WebLogic Server sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Oracle WebLogic Server 10.x, 12.x

Összefoglaló

Az Oracle WebLogic Server két sérülékenységét jelentették, amiket kihasználva a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre, valamint módosíthatnak egyes adatokat.

Leírás

1. A console/console.portal részére az “SNMPMonitoringTablePortlet[SNMPMonitoringTable]sortby” paraméteren keresztül átadott bemeneti adat (amikor “nfpb” “true” és “_pageLabel” “SNMPMonitoringTablePage” értékre van állítva) nincs megfelelően megtisztítva a felhasználónak való visszaadás előtt. Ezt kihasználva tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
2. A “WebLogic Console” alkomponens egy hibáját kihasználva módosítani lehet bizonyos adatokat.

A sérülékenységeket a 10.0.2, 10.3.5, 10.3.6 és 12.1.1 verziókban jelentették.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.oracle.com
Gyártói referencia: www.oracle.com
CVE-2013-1504 - NVD CVE-2013-1504
CVE-2013-2390 - NVD CVE-2013-2390
SECUNIA 51501