Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 14

Eine Schwachstelle in der Komponente XMLPublisher von Oracle PeopleSoft Enterprise PeopleTools (Versionen 8.59, 8.60 und 8.61) erlaubt einem Angreifer mit niedrigen Rechten und HTTP-Netzwerkzugriff, PeopleTools leicht zu kompromittieren. Ein erfolgreicher Angriff kann zur vollständigen Übernahme von PeopleSoft Enterprise PeopleTools führen. CVSS-Basiswert: 8.8 (Hoch).

Eine Schwachstelle im Produkt Oracle Site Hub der Oracle E-Business Suite (Komponente: Site Hierarchy Flows) betrifft die Versionen 12.2.3 bis 12.2.13. Die leicht ausnutzbare Schwachstelle erlaubt einem niedrig privilegierten Angreifer mit Netzwerkzugriff über HTTP unbefugtes Erstellen, Löschen oder Ändern kritischer Daten sowie unbefugten Zugriff auf sämtliche zugänglichen Daten. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle im Produkt Oracle Advanced Pricing der Oracle E-Business Suite (Komponente Price List) betrifft die Versionen 12.2.3 bis 12.2.13. Ein Angreifer mit niedrigen Rechten und Netzwerkzugriff über HTTP kann die Lücke einfach ausnutzen und dadurch kritische Daten unbefugt anlegen, löschen oder verändern sowie auf sämtliche über Oracle Advanced Pricing zugängliche Daten zugreifen. CVSS-Basiswert: 8.1 (Hoch).

In der Komponente Cost Planning des Oracle-Cost-Management-Produkts der Oracle E-Business Suite (betroffene Versionen 12.2.12 bis 12.2.13) besteht eine leicht ausnutzbare Schwachstelle. Ein Angreifer mit geringen Rechten und Netzwerkzugriff über HTTP kann Oracle Cost Management kompromittieren. Erfolgreiche Angriffe können zu unautorisierter Erstellung, Löschung oder Änderung kritischer Daten sowie zu unautorisiertem Zugriff auf sämtliche für Oracle Cost Management zugänglichen Daten führen. CVSS-Basiswert: 8.1 (Hoch).

In der Komponente Tasks des Produkts Oracle Common Applications Calendar der Oracle E-Business Suite besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die Versionen 12.2.6 bis 12.2.13. Ein Angreifer mit geringen Rechten und Netzwerkzugriff über HTTP kann sie ausnutzen und unbefugt Daten anlegen, löschen oder ändern sowie auf kritische Daten zugreifen. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle im Produkt Oracle Applications Manager der Oracle E-Business Suite (Komponente Diagnostics) betrifft die Versionen 12.2.11 bis 12.2.13. Sie ist leicht ausnutzbar und erlaubt einem niedrig privilegierten Angreifer mit Netzwerkzugang über HTTP, das Produkt zu kompromittieren, mit unbefugtem Zugriff, Anlegen, Löschen oder Verändern kritischer Daten. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Eine Schwachstelle im Produkt Oracle Incentive Compensation der Oracle E-Business Suite (Komponente: Compensation Plan) betrifft die Versionen 12.2.3 bis 12.2.13. Die leicht ausnutzbare Schwachstelle erlaubt einem gering privilegierten Angreifer mit Netzwerkzugriff über HTTP, Oracle Incentive Compensation zu kompromittieren. Erfolgreiche Angriffe können zu unbefugtem Erstellen, Löschen oder Verändern kritischer Daten sowie zu unbefugtem Zugriff auf sämtliche zugänglichen Daten führen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: betroffene Software gemäss Oracle Critical Patch Update aktualisieren.

Eine Schwachstelle im Produkt Oracle Field Service der Oracle E-Business Suite (Komponente Field Service Engineer Portal) betrifft die Versionen 12.2.3 bis 12.2.13. Ein niedrig privilegierter Angreifer mit Netzwerkzugriff über HTTP kann sie leicht ausnutzen und dadurch unbefugt kritische Daten anlegen, löschen oder verändern sowie vollständig auf alle für Oracle Field Service zugänglichen Daten zugreifen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktuelles Oracle Critical Patch Update einspielen.

Eine leicht ausnutzbare Schwachstelle in der User-Interface-Komponente von Oracle Quoting der Oracle E-Business Suite (Versionen 12.2.7 bis 12.2.13) erlaubt einem gering privilegierten Angreifer mit Netzwerkzugang über HTTP die Kompromittierung von Oracle Quoting. Erfolgreiche Angriffe können zu unbefugtem Erstellen, Löschen oder Ändern kritischer Daten sowie zum vollständigen Zugriff auf alle zugänglichen Daten führen. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle im Produkt Oracle Work in Process der Oracle E-Business Suite (Komponente: Messages) betrifft die Versionen 12.2.3 bis 12.2.13. Die leicht ausnutzbare Schwachstelle erlaubt einem gering privilegierten Angreifer mit Netzwerkzugriff über HTTP, Oracle Work in Process zu kompromittieren, mit unbefugtem Erstellen, Löschen oder Ändern kritischer Daten sowie unbefugtem Lesezugriff auf alle zugänglichen Daten. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle im Produkt Oracle MES for Process Manufacturing der Oracle E-Business Suite (Komponente Device Integration) betrifft die Versionen 12.2.3 bis 12.2.13. Ein Angreifer mit geringen Berechtigungen und Netzwerkzugang über HTTP kann sie leicht ausnutzen und unberechtigt kritische Daten anlegen, löschen, verändern oder auf diese zugreifen. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle im Produkt Oracle Contract Lifecycle Management for Public Sector der Oracle E-Business Suite (Komponente: Award Processes) betrifft die Versionen 12.2.3 bis 12.2.13. Die leicht ausnutzbare Schwachstelle erlaubt einem niedrig privilegierten Angreifer mit Netzwerkzugriff über HTTP unbefugtes Erstellen, Löschen oder Ändern kritischer Daten sowie unbefugten Zugriff auf sämtliche zugänglichen Daten. CVSS-Basiswert: 8.1 (Hoch).

In der Komponente Common Components des Oracle-Financials-Produkts der Oracle E-Business Suite (betroffene Versionen 12.2.3 bis 12.2.13) besteht eine leicht ausnutzbare Schwachstelle. Ein Angreifer mit geringen Rechten und Netzwerkzugriff über HTTP kann Oracle Financials kompromittieren. Erfolgreiche Angriffe können zu unautorisierter Erstellung, Löschung oder Änderung kritischer Daten sowie zu unautorisiertem Zugriff auf sämtliche für Oracle Financials zugänglichen Daten führen. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle im Produkt PeopleSoft Enterprise HCM Global Payroll Core von Oracle PeopleSoft betrifft die Versionen 9.2.48 bis 9.2.50. Sie ist leicht ausnutzbar und erlaubt einem niedrig privilegierten Angreifer mit Netzwerkzugang über HTTP, das Produkt zu kompromittieren, mit unbefugtem Zugriff, Anlegen, Löschen oder Verändern kritischer Daten. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

In der Komponente Auctions des Produkts Oracle Sourcing der Oracle E-Business Suite (Versionen 12.2.3 bis 12.2.13) kann ein niedrig privilegierter Angreifer mit Netzwerkzugriff über HTTP unberechtigt kritische Daten lesen, anlegen, ändern oder löschen. CVSS-Basiswert: 8.1 (Hoch).

Im FMW-Control-Plugin von Oracle Enterprise Manager Fusion Middleware Control (unterstützte Version 12.2.1.4.0) besteht eine leicht ausnutzbare Schwachstelle. Ein niedrig privilegierter Angreifer mit Netzwerkzugriff kann sie über HTTP ausnutzen, wobei zusätzlich eine Interaktion einer anderen Person als dem Angreifer erforderlich ist. Erfolgreiche Angriffe können zu unautorisiertem Zugriff auf kritische Daten beziehungsweise vollem Zugriff auf sämtliche für die Anwendung zugänglichen Daten führen sowie zu unautorisiertem Ändern, Einfügen oder Löschen eines Teils dieser Daten; durch einen Scope-Wechsel können auch weitere Oracle-Produkte betroffen sein. CVSS-Basiswert: 7.6 (Hoch).

Eine Schwachstelle im Oracle-BI-Publisher-Produkt von Oracle Analytics (Komponente Layout Templates) betrifft die Versionen 7.0.0.0.0, 7.6.0.0.0 und 12.2.1.4.0. Sie ist leicht ausnutzbar und erlaubt einem niedrig privilegierten Angreifer mit Netzwerkzugriff per HTTP die Kompromittierung von Oracle BI Publisher. Erfolgreiche Angriffe können zu unautorisiertem Zugriff auf kritische Daten, unautorisierten Änderungen sowie einem teilweisen Denial of Service führen. CVSS-Basiswert: 7.6 (Hoch).

Die Komponente Cloning des Oracle Global Lifecycle Management FMW Installer (betroffene Version 12.2.1.4.0) ist leicht ausnutzbar: Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über SFTP kann das Produkt kompromittieren. Ein erfolgreicher Angriff kann zu unbefugtem Erstellen, Löschen oder Verändern kritischer bzw. sämtlicher zugänglicher Daten führen. CVSS-Basiswert: 7.5 (Hoch, Auswirkung auf Integrität).

In der Core-Komponente von Oracle WebLogic Server (Oracle Fusion Middleware) erlaubt eine leicht ausnutzbare Schwachstelle unauthentifizierten Angreifern mit Netzwerkzugriff per HTTP die Kompromittierung des Servers. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein erfolgreicher Angriff kann zu einem Hang oder wiederholt reproduzierbarem Absturz (vollständiger DoS) führen. CVSS-Basiswert: 7.5 (Hoch).

Im Core-Komponente des Oracle-WebLogic-Server-Produkts von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle, die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 oder IIOP erlaubt, den Server zu kompromittieren. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein erfolgreicher Angriff kann zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle vom WebLogic Server erreichbaren Daten führen. CVSS-Basiswert: 7.5 (Hoch), Auswirkung auf die Vertraulichkeit.

Im Oracle-WebLogic-Server-Produkt der Oracle Fusion Middleware (Komponente Core) erlaubt eine leicht ausnutzbare Schwachstelle einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 oder IIOP die Kompromittierung des Servers. Ein erfolgreicher Angriff kann zu einem Hang oder einem wiederholt reproduzierbaren Absturz (vollständiger DoS) führen. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 7.5 (Hoch).

In der Console-Komponente von Oracle WebLogic Server (Oracle Fusion Middleware) erlaubt eine leicht ausnutzbare Schwachstelle unauthentifizierten Angreifern mit Netzwerkzugriff per HTTP die Kompromittierung des Servers. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein erfolgreicher Angriff kann zu einem Hang oder wiederholt reproduzierbarem Absturz (vollständiger DoS) führen. CVSS-Basiswert: 7.5 (Hoch).

In CyberArk besteht eine Schwachstelle vom Typ CWE-602 (Client-Side Enforcement of Server-Side Security): Sicherheitsprüfungen, die serverseitig erzwungen werden müssten, werden auf der Client-Seite durchgesetzt und lassen sich dadurch umgehen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: betroffene Software gemäss Hersteller-Advisory aktualisieren.

In Tenable Identity Exposure besteht eine Formel-Injection-Schwachstelle. Ein authentifizierter Angreifer mit administrativen Rechten kann Formularfelder der Anwendung manipulieren, um einen anderen Administrator zur Ausführung präparierter CSV-Payloads zu verleiten. CVSS-Basiswert: 7.6 (Hoch).

Im Core-Komponente des Oracle-WebLogic-Server-Produkts von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle, die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP erlaubt, den Server zu kompromittieren. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein erfolgreicher Angriff kann zu unautorisierter Erstellung, Löschung oder Änderung kritischer Daten oder aller vom WebLogic Server erreichbaren Daten führen. CVSS-Basiswert: 7.5 (Hoch), Auswirkung auf die Integrität.

Im Oracle-WebLogic-Server-Produkt der Oracle Fusion Middleware (Komponente Core) erlaubt eine leicht ausnutzbare Schwachstelle einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 oder IIOP die Kompromittierung des Servers. Ein erfolgreicher Angriff kann zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle vom WebLogic Server erreichbaren Daten führen. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 7.5 (Hoch).

Eine Schwachstelle in der RDBMS-Security-Komponente von Oracle Database Server betrifft die unterstützten Versionen 19.3 bis 19.23. Ein hoch privilegierter Angreifer mit dem Recht "Execute on SYS.XS_DIAG" kann sie über Oracle Net aus der Ferne leicht ausnutzen und die RDBMS-Security- Komponente kompromittieren, was bis zur vollständigen Übernahme führen kann. Betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.2 (Hoch).

In Jungo WinDriver vor Version 12.5.1 besteht laut NVD eine fehlerhafte Privilegienverwaltung. Lokale Angreifer können darüber ihre Rechte ausweiten, beliebigen Code ausführen oder einen Denial of Service verursachen. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In Jungo WinDriver vor Version 12.2.0 besteht laut NVD eine fehlerhafte Privilegienverwaltung. Lokale Angreifer können darüber ihre Rechte ausweiten und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Jungo WinDriver vor Version 12.5.1 weist laut NVD eine fehlerhafte Rechteverwaltung auf. Lokale Angreifer können dadurch ihre Rechte ausweiten und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Versionen vor 12.5.1.

Jungo WinDriver in den Versionen 6.0.0 bis 16.1.0 weist eine fehlerhafte Rechteverwaltung auf, die es lokalen Angreifern erlaubt, ihre Rechte auszuweiten und beliebigen Code auszuführen. Der Angriffsvektor ist lokal bei geringem Angriffsaufwand; bereits geringe Rechte genügen, eine Nutzerinteraktion ist nicht nötig. Vertraulichkeit, Integrität und Verfügbarkeit sind bei erfolgreicher Ausnutzung vollständig betroffen. CVSS-Basiswert: 7.8 (Hoch).

In Jungo WinDriver vor Version 12.1.0 besteht eine fehlerhafte Berechtigungsverwaltung. Lokale Angreifer können dadurch ihre Rechte ausweiten und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch).

Ein lokaler Angreifer kann bei Check Point ZoneAlarm ExtremeSecurity NextGen sowie bei Identity Agent for Windows und Identity Agent for Windows Terminal Server seine Privilegien eskalieren. Voraussetzung für die Ausnutzung ist laut Quelle, dass der Angreifer bereits in der Lage ist, lokal privilegierten Code auf dem Zielsystem auszuführen. CVSS-Basiswert: 7.3 (Hoch).

Im Core-Komponente des Oracle-WebLogic-Server-Produkts von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle, die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 oder IIOP erlaubt, den Server zu kompromittieren. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein erfolgreicher Angriff kann zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle vom WebLogic Server erreichbaren Daten führen. CVSS-Basiswert: 7.5 (Hoch), Auswirkung auf die Vertraulichkeit.

Im Oracle-WebLogic-Server-Produkt der Oracle Fusion Middleware (Komponente Core) erlaubt eine leicht ausnutzbare Schwachstelle einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 oder IIOP die Kompromittierung des Servers. Ein erfolgreicher Angriff kann zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle vom WebLogic Server erreichbaren Daten führen. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 7.5 (Hoch).

Die Komponente Import Utility des Oracle-Production-Scheduling-Produkts der Oracle E-Business Suite ist leicht ausnutzbar: Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann das Produkt kompromittieren. Betroffen sind die Versionen 12.2.4 bis 12.2.12. Ein erfolgreicher Angriff kann zu unbefugtem Erstellen, Löschen oder Verändern kritischer bzw. sämtlicher zugänglicher Daten führen. CVSS-Basiswert: 7.5 (Hoch, Auswirkung auf Integrität).

Im Script-Engine-Bestandteil von Oracle BI Publisher (Oracle Analytics), Versionen 7.0.0.0.0 und 12.2.1.4.0, besteht eine leicht ausnutzbare Schwachstelle. Ein hochprivilegierter Angreifer mit Netzwerkzugriff über HTTP kann Oracle BI Publisher kompromittieren, was zur vollständigen Übernahme führen kann. CVSS-Basiswert: 7.2 (Hoch), mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Eine DLL-Injection-Schwachstelle erlaubt es einem authentifizierten, niedrig privilegierten lokalen Angreifer, Anwendungsdateien auf dem TIE-Secure-Relay-Host zu verändern. Dadurch kann die Konfiguration überschrieben und der Start neuer Secure-Relay-Dienste erzwungen werden. CVSS-Basiswert: 7.3 (Hoch).

Eine Schwachstelle im Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) betrifft die Versionen 12.2.1.4.0 und 14.1.1.0.0. Die leicht ausnutzbare Lücke erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, den Oracle WebLogic Server zu kompromittieren. Angriffe können weitere Produkte erheblich beeinträchtigen (Scope-Wechsel). Erfolgreiche Angriffe können zu unbefugtem Erstellen, Löschen oder Ändern kritischer Daten oder aller für den WebLogic Server zugänglichen Daten führen. CVSS-Basiswert: 8.6 (Hoch).

In Oracle Audit Vault and Database Firewall (Komponente Firewall) erlaubt eine leicht ausnutzbare Schwachstelle einem nicht authentifizierten Angreifer mit Netzwerkzugriff über Oracle Net die Kompromittierung des Systems. Ein erfolgreicher Angriff kann zu unautorisierter Erstellung, Löschung oder Änderung kritischer Daten führen. Betroffen sind die Versionen 20.1 bis 20.9. CVSS-Basiswert: 7.5 (Hoch).

Die Core-Komponente des Oracle-WebLogic-Server-Produkts der Oracle Fusion Middleware ist leicht ausnutzbar: Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über T3 oder IIOP kann das Produkt kompromittieren. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein erfolgreicher Angriff kann zu unbefugtem Zugriff auf kritische bzw. sämtliche zugänglichen Daten führen. CVSS-Basiswert: 7.5 (Hoch, Auswirkung auf Vertraulichkeit).

Ein nicht authentifizierter entfernter Angreifer kann eine Schwachstelle durch unkontrollierten Ressourcenverbrauch ausnutzen, um betroffene Geräte durch übermässigen Datenverkehr auf einem einzelnen Ethernet-Port in einen Denial-of-Service-Zustand zu versetzen. CVSS-Basiswert: 7.5 (Hoch).

In der Firewall-Komponente von Oracle Audit Vault and Database Firewall besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die Versionen 20.1 bis 20.9. Ein hoch privilegierter Angreifer mit Netzwerkzugriff über Oracle Net kann bei erfolgreicher Ausnutzung, die Interaktion einer weiteren Person voraussetzt, Oracle Audit Vault and Database Firewall vollständig übernehmen; da der Scope sich ändert, können auch weitere Produkte signifikant betroffen sein. CVSS-Basiswert: 7.6 (Hoch, Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit).

Mehrere WSO2-Produkte sind anfällig für Benutzer-Impersonation über JIT-Provisioning. Voraussetzung ist ein IDP mit föderierter Authentifizierung und aktiviertem JIT-Provisioning mit der Option zur Abfrage von Benutzername, Passwort und Zustimmung sowie ein Service Provider, der diesen IDP nutzt und die Option zur Identitätszusicherung über den zugeordneten lokalen Subject-Identifier aktiviert hat. Verfügt der Angreifer über ein frisches, gültiges Konto im föderierten IDP und kennt den Benutzernamen eines gültigen lokalen Benutzers, kann er den JIT-Provisioning-Ablauf zur Benutzer-Impersonation missbrauchen. CVSS-Basiswert: 8.5 (Hoch).

Betroffene Geräte verarbeiten speziell präparierte Pakete, die an Port 102/tcp gesendet werden, fehlerhaft. Dies kann einem Angreifer erlauben, einen Denial-of-Service-Zustand herbeizuführen; ein Neustart ist erforderlich, um den Normalbetrieb wiederherzustellen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Die Konfigurationsfunktion der IPMI-BMC-Implementierung (Intelligent Platform Management Interface, Baseboard Management Controller) auf Geräten der Supermicro-Baureihen X11 und M11 mit Firmware-Versionen bis einschliesslich 3.17.02 erlaubt entfernten, authentifizierten Benutzern die Ausführung beliebiger Befehle. CVSS-Basiswert: 8.8 (Hoch).

Das Web-Interface der IPMI-BMC-Implementierung (Baseboard Management Controller) auf Supermicro-Geräten der Reihen X11 und M11 mit Firmware-Versionen vor 3.17.02 erlaubt entfernten, authentifizierten Benutzern die Ausführung beliebiger Befehle über eine präparierte Anfrage an verwundbare CGI-Endpunkte. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Firmware-Update auf Version 3.17.02 oder neuer.

Der Webserver der Intelligent-Platform-Management-Interface-Implementierung (IPMI) des Baseboard-Management-Controllers (BMC) auf Supermicro-Geräten der Serien X11 und M11 mit Firmware bis Version 3.17.02 erlaubt entfernten, nicht authentifizierten Angreifern einen Directory-Traversal-Angriff. Dadurch können potenziell schützenswerte Informationen offengelegt werden. CVSS-Basiswert: 7.5 (Hoch).

Eine Schwachstelle in einem bestimmten CLI-Befehl von Cisco ISE erlaubt einem authentifizierten, lokalen Angreifer mit mindestens Read-only-Rechten das Einschleusen von Betriebssystembefehlen und die Ausweitung der Rechte auf root. Ursache ist eine unzureichende Prüfung der Benutzereingaben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Sicherheitsupdate von Cisco einspielen.

In der Komponente Core von Oracle WebLogic Server (Oracle Fusion Middleware) besteht laut NVD eine schwer auszunutzende Schwachstelle. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über T3 oder IIOP kann WebLogic Server kompromittieren; ein erfolgreicher Angriff kann zur vollständigen Übernahme des Servers führen. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 8.1 (Hoch).