Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 19

Das WordPress-Plugin RegistrationMagic prüft vor Version 6.0.9.4 nicht ausreichend, ob ein in einem Cookie übermitteltes Einmalpasswort tatsächlich zu der angeforderten Identität gehört, bevor Formulardaten zurückgegeben werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Laut Quellbeschreibung konnte die Smart-Search-Indexierung generierten Inhalt mit der Identität des indexierenden Administrators statt der eines öffentlichen Gasts darstellen. Dadurch konnten eingeschränkte oder rein administrative Inhalte im Suchindex gespeichert werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in der Komponente Paybill Management des Produkts PeopleSoft Enterprise FIN Pay/Bill Management (Oracle PeopleSoft) betrifft laut Quelle die Version 9.2 und ist leicht ausnutzbar. Die Ausnutzung erfolgt lokal mit geringen Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:L/PR:L, C:H). CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Betroffen ist die Komponente Kubernetes Operator der Oracle TimesTen In-Memory Database in Version 26.1.1.1.0. Laut Quelle ist die Lücke leicht ausnutzbar; der CVSS-Vektor weist lokalen Zugriff, veränderte Sicherheitsgrenzen (Scope) und hohe Auswirkungen auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel).

Bei der Kommunikation zwischen betroffenen TP-Link-Omada-Geräten und den zugehörigen Cloud-Controllern besteht laut NVD eine Schwäche bei der Zertifikatsprüfung. Die Verifikation der Zertifikatsidentität validiert nicht ausreichend, dass ein vorgelegtes Zertifikat tatsächlich zum erwarteten Ziel gehört; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert und eine EPSS-Bewertung liegen für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle in der TokenManager-Komponente des Keycloak-Identitätsmanagementdienstes betrifft den Widerruf von Tokens für einen bestimmten Client mittels einer not-before-Richtlinie: Der zugehörige Mechanismus greift dabei nicht wie vorgesehen. CVSS-Basiswert: 4.2 (Mittel).

Im Projekt openshift/oauth-proxy leitet der Proxy laut NVD auf Pfaden, die per skip-auth-regex von der Authentifizierung ausgenommen sind, vom Client gesetzte Identitäts-Header wie X-Forwarded-User und X-Forwarded-Email weiter; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle in der Komponente Oracle SSL API des Produkts Oracle Security Service von Oracle Fusion Middleware betrifft laut Quelle die Version 12.2.1.4.0. Die Lücke ist schwer auszunutzen und erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff eine Beeinträchtigung von Vertraulichkeit und Integrität. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

Eine Schwachstelle betrifft das Produkt PeopleSoft Enterprise CS Financial Aid von Oracle PeopleSoft (Komponente: Institutional Methodology Need Analysis) in Version 9.2.38. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Komponente Internal Operations des Produkts Oracle Contracts Integration der Oracle E-Business Suite besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle im Oracle Data Integrator (Oracle Fusion Middleware, Komponente Patchset Assistant) betrifft die Versionen 12.2.1.4.0 und 14.1.2.0.0. Sie ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Laut NVD besteht eine Schwachstelle im Produkt Service Delivery Platform von Oracle Fusion Middleware in der Komponente Messaging Enabler. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 5.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle im L2TP-Subsystem behoben. Ein nicht privilegierter lokaler Nutzer konnte eine Host-CPU dauerhaft blockieren, da list_del_rcu in l2tp_session_unhash nicht korrekt verwendet wurde. Der Fix setzt list_del_rcu ein und verhindert die Endlosschleife. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ubuntu hat den Fehler in den Security Notices USN-8593-1 und USN-8603-1 adressiert. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Updates einspielen.

Im Produkt Oracle TimesTen In-Memory Database (Komponente Kubernetes Operator) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 26.1.1.1.0. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor erfolgt der Angriff lokal mit hohen Berechtigungen und kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. CVSS-Basiswert: 6.7 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Im amd-pstate-Treiber des Linux-Kernels wurde ein Speicherleck in amd_pstate_epp_cpu_init() behoben, das auftrat, wenn das Setzen des EPP fehlschlug und die Funktion vorzeitig zurückkehrte. Betroffen sind die Kernel-Pakete der aufgeführten Distributionen sowie AMD und Oracle (CPU/EBS/PeopleSoft/WebLogic), zusätzlich bestätigt durch mehrere Ubuntu-Sicherheitshinweise (USN). CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: die vom jeweiligen Distributor bereitgestellten Kernel-Updates einspielen.

Im Oracle-Labor-Distribution-Produkt der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 4.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

RustCrypto CMOV stellt Intrinsics für bedingte Kopieroperationen (conditional move) bereit, die auf den grossen Plattformen garantiert in konstanter Zeit ausgeführt und vom Compiler nicht in Verzweigungen umgeschrieben werden sollen. In den Versionen von 0.1.1 bis 0.5.4 ist diese Garantie betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Linux-Kernel wurde eine Schwachstelle behoben: Beim Anhalten der sekundären CPUs über smp_send_stop()/stop_this_cpu() wurde die sterbende CPU nicht an RCU gemeldet. Die Korrektur meldet die CPU im MIPS-Code korrekt ab. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den aktualisierten Kernel der eingesetzten Distribution einspielen.

Im Linux-Kernel wurde laut Quellbeschreibung eine Schwachstelle behoben: Auf der LoongArch-Architektur wird die sterbende CPU in stop_this_cpu() nun an RCU gemeldet. Es handelt sich um eine Portierung eines entsprechenden MIPS-Commits. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: verfügbare Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in srcu behoben: Während des Umschaltens einer srcu_struct-Struktur konnten Workqueue-Handler auf CPUs eingereiht werden, die nie online geschaltet wurden. Die Korrektur verhindert dies. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Zusätzlich im Ubuntu Security Notice USN-8618-1 (Linux-Kernel-Schwachstellen) aufgeführt. Empfohlene Massnahme: den aktualisierten Kernel der eingesetzten Distribution einspielen.

Eine Schwachstelle betrifft die Oracle TimesTen In-Memory Database (Komponente: Kubernetes Operator) in Version 26.1.1.1.0. Laut Quelle ist die Lücke einfach ausnutzbar. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle im Produkt PeopleSoft Enterprise FIN Common Objects von Oracle PeopleSoft betrifft die Komponente Security. Betroffen ist die Version 9.2. Die Schwachstelle ist schwer auszunutzen, kann aber die Integrität beeinträchtigen. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in der Komponente Kubernetes Operator des Produkts Oracle TimesTen In-Memory Database betrifft laut Quelle die Version 26.1.1.1.0 und ist schwer ausnutzbar. Die Ausnutzung erfolgt lokal unter erschwerten Bedingungen mit geringen Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:H/PR:L/S:C, C:H). CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der SIMATIC S7-300 CPU-Familie (inkl. ET200 CPUs und SIPLUS-Varianten) sowie S7-400 CPU-Familie wurden Sicherheitslücken identifiziert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in Cisco Identity Services Engine (ISE) und Cisco ISE Passive Identity Connector (ISE-PIC) erlaubt einem authentifizierten, entfernten Angreifer Path-Traversal-Angriffe auf das zugrunde liegende Dateisystem. Die Ausnutzung setzt hohe Rechte voraus (PR:H) und wirkt sich vor allem auf die Vertraulichkeit aus. CVSS-Basiswert: 5.5 (Mittel).

Die Twig-Sandbox verhindert laut Quelle vor Version 3.26.0 auch unter der striktesten Allow-List nicht, dass ein Template CPU-Zeit, Speicher oder Laufzeit übermässig verbraucht; dies ermöglicht nicht vertrauenswürdigen Templates eine Ressourcenerschöpfung. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Das SSL-Protokoll 3.0 verwendet in OpenSSL bis Version 1.0.1i nichtdeterministisches CBC-Padding, was Man-in-the-Middle-Angriffe zur Entschlüsselung von Klartextdaten ermöglicht (bekannt als POODLE). CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Der RC4-Algorithmus, wie er im TLS- und SSL-Protokoll eingesetzt wird, kombiniert Zustands- und Schlüsseldaten in der Initialisierungsphase nicht korrekt. Dadurch wird es entfernten Angreifern erleichtert, Plaintext-Daten durch statistische Analysen des verschlüsselten Datenverkehrs zu ermitteln. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 23.4 %.

Laut NVD sind IBM Verify Identity Access 11.0 bis 11.0.2, IBM Security Verify Access 10.0 bis 10.0.9.1 sowie die zugehörigen Container-Ausgaben (IBM Verify Identity Access Container 11.0 bis 11.0.2 und IBM Security Verify Access Container) von einer Schwachstelle betroffen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte, aber mit hoher Angriffskomplexität und erforderlicher Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Oracle-Labor-Distribution-Produkt der Oracle E-Business Suite (Komponente Internal Operations) besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware (Komponente: Data Visualization Tools) betrifft laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0.0. Die Lücke ist laut Quelle schwer ausnutzbar. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

Eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware betrifft die Komponente ADF Faces. Betroffen sind laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist schwierig auszunutzen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In Oracle PeopleSoft Enterprise CS Student Records besteht eine Schwachstelle in der Komponente Research Tracking. Betroffen ist laut Quelle die unterstützte Version 9.2.38; die Lücke gilt als schwer ausnutzbar. CVSS-Basiswert: 3.7 (Niedrig), Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die betroffene Software gemäss Oracle-Advisory aktualisieren.

Ein Fehler in der keycloak-services-Komponente von Keycloak tritt laut NVD auf, wenn ein Realm-Administrator eine Wildcard-Domain (z. B. *.example.com) konfiguriert. Betroffen ist die Identity-and-Access-Management-Lösung von Red Hat / CNCF. CVSS-Basiswert: 3.7 (Niedrig).

Eine Schwachstelle im Produkt Oracle JDeveloper der Oracle Fusion Middleware betrifft die Komponente ADF Faces. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist laut Quelle schwer ausnutzbar. CVSS-Basiswert: 3.1 (Niedrig), Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Im Oracle-Labor-Distribution-Produkt der Oracle E-Business Suite (Komponente Internal Operations) besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der RDBMS-Komponente des Oracle Database Server besteht eine leicht ausnutzbare Schwachstelle, für die ein hoch privilegierter Angreifer erforderlich ist. Betroffen sind laut Quelle die Versionen 19.3–19.31, 21.3–21.22 sowie 23.4.0–23.26.2. CVSS-Basiswert: 2.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das von Oracle bereitgestellte Sicherheitsupdate einspielen.

Eine Schwachstelle im Produkt PeopleSoft Enterprise FIN Engineering Argentina von Oracle PeopleSoft betrifft die Komponente Engineering. Betroffen ist laut Quelle die Version 9.1; die Lücke ist schwierig auszunutzen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In der Komponente Definition des Produkts Oracle E-Business Intelligence der Oracle E-Business Suite besteht laut NVD eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Die Schwachstelle gilt laut Quelle als schwer auszunutzen (Difficult to exploit). CVSS-Basiswert: 2.0 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der SAML-Protokollimplementierung von Keycloak, einer Open-Source-Lösung für Identity- und Access-Management, liegt eine Schwachstelle vor. Sie tritt auf, wenn Keycloak bestimmte SAML-Authentifizierungsanfragen verarbeitet; der genaue Ablauf ist in den Quelldaten nicht vollständig dokumentiert. CVSS-Basiswert: 3.4 (Niedrig).

Eine Schwachstelle im Produkt Siebel CRM Deployment von Oracle Siebel CRM (Komponente Application Interface) betrifft laut Quelldaten die Versionen 17.0-26.4. Die schwer ausnutzbare Lücke setzt privilegierten Zugriff sowie eine Nutzerinteraktion voraus. CVSS-Basiswert: 2.6 (Niedrig), Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In mandantenfähigen Deployments isoliert der Mechanismus zur Verwaltung der Anwendungs-Zustimmung (Consent) die Consent-Scopes zwischen den Mandanten nicht korrekt. Eine von einem Nutzer für eine bestimmte SaaS-Anwendung erteilte Zustimmung wird dadurch nicht sauber mandantenübergreifend getrennt. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Sicherheitsupdate des Herstellers nach Verfügbarkeit einspielen.

Im Produkt PeopleSoft Enterprise FIN eSettlements von Oracle PeopleSoft (Komponente eSettlements) besteht in der unterstützten Version 9.2 eine leicht ausnutzbare Schwachstelle. CVSS-Basiswert: 2.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das von Oracle bereitgestellte Sicherheitsupdate einspielen.

Eine Schwachstelle im Produkt Oracle TimesTen In-Memory Database betrifft die Komponente Kubernetes Operator. Betroffen ist laut Quelle die Version 26.1.1.1.0; die Lücke ist einfach ausnutzbar. CVSS-Basiswert: 3.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Der Nutzer-Impersonationsablauf im WSO2 Identity Server verwaltet Refresh-Token, die mit impersonierten Sitzungen verknüpft sind, nicht ordnungsgemäss. Dies erlaubt einem Angreifer, der über ein Access-Token für eine impersonierte Sitzung verfügt, dieses missbräuchlich weiterzuverwenden; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 2.4 (Niedrig). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet und nicht mit Ransomware-Kampagnen in Verbindung gebracht. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Eine Schwachstelle im Produkt Oracle Data Integrator der Oracle Fusion Middleware betrifft die Komponente Patchset Assistant. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist laut Quelle einfach ausnutzbar. CVSS-Basiswert: 3.3 (Niedrig), Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.