Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 19

Im amd-pstate-Treiber des Linux-Kernels wurde ein Speicherleck in amd_pstate_epp_cpu_init() behoben, das auftrat, wenn das Setzen des EPP fehlschlug und die Funktion vorzeitig zurückkehrte. Betroffen sind die Kernel-Pakete der aufgeführten Distributionen sowie AMD und Oracle (CPU/EBS/PeopleSoft/WebLogic), zusätzlich bestätigt durch mehrere Ubuntu-Sicherheitshinweise (USN). CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: die vom jeweiligen Distributor bereitgestellten Kernel-Updates einspielen.

Im Produkt Oracle Agile PLM von Oracle Supply Chain (Komponente Security) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 9.3.6. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor kann ein lokal angemeldeter Angreifer mit niedrigen Berechtigungen die Vertraulichkeit beeinträchtigen, wobei sich die Auswirkung über die Systemgrenze hinaus erstreckt. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In der Version-Komponente der Elixir-Standardbibliothek erlaubt eine unkontrollierte Ressourcennutzung einem Angreifer, der eine Versionszeichenkette kontrolliert, einen Denial of Service durch CPU- und Speichererschöpfung auszulösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Komponente JDBC des Oracle Database Server besteht eine schwer ausnutzbare Schwachstelle; betroffen sind laut Quelle die Versionen 19.3 bis 19.31, 21.3 bis 21.22 und 23.4.0 bis 23.26.2. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Laut NVD besteht in der Komponente Core der Oracle Application Object Library (Oracle E-Business Suite) eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Die Lücke ist mit lokalem Zugriff und niedrigen Rechten leicht ausnutzbar, wirkt über eine Vertrauensgrenze hinweg (Scope Changed) und betrifft die Vertraulichkeit. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle im Produkt PeopleSoft Enterprise PeopleTools von Oracle PeopleSoft (Komponente: Panel Processor) betrifft die Version 8.62. Die Lücke ist leicht auszunutzen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In PeopleSoft Enterprise PeopleTools, einem Produkt von Oracle PeopleSoft, besteht laut NVD eine Schwachstelle in der Komponente Security. Betroffen sind die unterstützten Versionen 8.61 und 8.62; die Lücke ist leicht ausnutzbar. Laut CVSS-Vektor ist sie über das Netzwerk mit niedrigen Privilegien ausnutzbar, erfordert Benutzerinteraktion und wirkt sich begrenzt auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

In der Komponente Security des Produkts PeopleSoft Enterprise PeopleTools von Oracle PeopleSoft besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die Versionen 8.61 und 8.62. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in der Core-Komponente des Produkts Oracle Coherence (Oracle Fusion Middleware) betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0 und ist leicht ausnutzbar. Die Ausnutzung erfolgt lokal mit erhöhten Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:L/PR:H/S:C, C:H). CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Produkt Oracle JDeveloper der Oracle Fusion Middleware (Komponente ADF Faces) besteht laut NVD eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor kann ein lokal angemeldeter Angreifer mit niedrigen Berechtigungen die Vertraulichkeit beeinträchtigen, wobei sich die Auswirkung über die Systemgrenze hinaus erstreckt. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Eine Schwachstelle betrifft das Produkt PeopleSoft Enterprise CS Financial Aid von Oracle PeopleSoft (Komponente: FM Need Analysis Calculator) in Version 9.2.38. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Komponente Internal Operations des Produkts Oracle Contracts Integration der Oracle E-Business Suite besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut Quellbeschreibung ist die Lücke schwer ausnutzbar. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Produkt Oracle Contracts Integration der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine schwer ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 4.2 (Mittel); die Lücke ist ohne Authentifizierung über das Netzwerk bei hoher Angriffskomplexität ausnutzbar und beeinträchtigt Vertraulichkeit und Integrität in geringem Umfang. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der SAML-Broker-Komponente von Keycloak, einer Identity-and-Access-Management-Lösung, besteht ein Fehler: Bei Konfiguration als SAML-Broker über den IdP-Initiated-Flow setzt Keycloak eine Kontrolle im Zusammenhang mit einem einmalig gültigen Token nicht durch; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 6.4 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet und nicht mit Ransomware-Kampagnen in Verbindung gebracht. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Das WordPress-Plugin RegistrationMagic prüft vor Version 6.0.9.4 nicht ausreichend, ob ein in einem Cookie übermitteltes Einmalpasswort tatsächlich zu der angeforderten Identität gehört, bevor Formulardaten zurückgegeben werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Im Linux-Kernel wurde eine Schwachstelle in srcu behoben: Während des Umschaltens einer srcu_struct-Struktur konnten Workqueue-Handler auf CPUs eingereiht werden, die nie online geschaltet wurden. Die Korrektur verhindert dies. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Zusätzlich im Ubuntu Security Notice USN-8618-1 (Linux-Kernel-Schwachstellen) aufgeführt. Empfohlene Massnahme: den aktualisierten Kernel der eingesetzten Distribution einspielen.

Laut Quellbeschreibung konnte die Smart-Search-Indexierung generierten Inhalt mit der Identität des indexierenden Administrators statt der eines öffentlichen Gasts darstellen. Dadurch konnten eingeschränkte oder rein administrative Inhalte im Suchindex gespeichert werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in der Komponente Paybill Management des Produkts PeopleSoft Enterprise FIN Pay/Bill Management (Oracle PeopleSoft) betrifft laut Quelle die Version 9.2 und ist leicht ausnutzbar. Die Ausnutzung erfolgt lokal mit geringen Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:L/PR:L, C:H). CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Betroffen ist die Komponente Kubernetes Operator der Oracle TimesTen In-Memory Database in Version 26.1.1.1.0. Laut Quelle ist die Lücke leicht ausnutzbar; der CVSS-Vektor weist lokalen Zugriff, veränderte Sicherheitsgrenzen (Scope) und hohe Auswirkungen auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle in der TokenManager-Komponente des Keycloak-Identitätsmanagementdienstes betrifft den Widerruf von Tokens für einen bestimmten Client mittels einer not-before-Richtlinie: Der zugehörige Mechanismus greift dabei nicht wie vorgesehen. CVSS-Basiswert: 4.2 (Mittel).

Im Projekt openshift/oauth-proxy leitet der Proxy laut NVD auf Pfaden, die per skip-auth-regex von der Authentifizierung ausgenommen sind, vom Client gesetzte Identitäts-Header wie X-Forwarded-User und X-Forwarded-Email weiter; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 6.5 (Mittel).

Im Linux-Kernel wurde eine Schwachstelle im sched_ext-Subsystem behoben: Eine WARN-Meldung wird ausgelöst, wenn der User-Manager von systemd bestimmte cgroup-Attribute schreibt, während cgrp_moving_from in scx_cgroup_move_task() NULL ist. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die Kernel-Aktualisierung der jeweiligen Distribution einspielen.

Eine Schwachstelle in der Komponente Oracle SSL API des Produkts Oracle Security Service von Oracle Fusion Middleware betrifft laut Quelle die Version 12.2.1.4.0. Die Lücke ist schwer auszunutzen und erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff eine Beeinträchtigung von Vertraulichkeit und Integrität. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

Eine Schwachstelle betrifft das Produkt PeopleSoft Enterprise CS Financial Aid von Oracle PeopleSoft (Komponente: Institutional Methodology Need Analysis) in Version 9.2.38. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Im Linux-Kernel wurde ein PID-Refcount-Leck im Fehlerpfad von do_cpu_nanosleep() (posix-cpu-timers) behoben. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

In der Komponente Internal Operations des Produkts Oracle Contracts Integration der Oracle E-Business Suite besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle im Oracle Data Integrator (Oracle Fusion Middleware, Komponente Patchset Assistant) betrifft die Versionen 12.2.1.4.0 und 14.1.2.0.0. Sie ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Laut NVD besteht eine Schwachstelle im Produkt Service Delivery Platform von Oracle Fusion Middleware in der Komponente Messaging Enabler. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 5.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle im L2TP-Subsystem behoben. Ein nicht privilegierter lokaler Nutzer konnte eine Host-CPU dauerhaft blockieren, da list_del_rcu in l2tp_session_unhash nicht korrekt verwendet wurde. Der Fix setzt list_del_rcu ein und verhindert die Endlosschleife. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ubuntu hat den Fehler in den Security Notices USN-8593-1 und USN-8603-1 adressiert. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Updates einspielen.

Im Produkt Oracle TimesTen In-Memory Database (Komponente Kubernetes Operator) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 26.1.1.1.0. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor erfolgt der Angriff lokal mit hohen Berechtigungen und kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. CVSS-Basiswert: 6.7 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Im Oracle-Labor-Distribution-Produkt der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 4.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

RustCrypto CMOV stellt Intrinsics für bedingte Kopieroperationen (conditional move) bereit, die auf den grossen Plattformen garantiert in konstanter Zeit ausgeführt und vom Compiler nicht in Verzweigungen umgeschrieben werden sollen. In den Versionen von 0.1.1 bis 0.5.4 ist diese Garantie betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Linux-Kernel wurde eine Schwachstelle behoben: Beim Anhalten der sekundären CPUs über smp_send_stop()/stop_this_cpu() wurde die sterbende CPU nicht an RCU gemeldet. Die Korrektur meldet die CPU im MIPS-Code korrekt ab. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den aktualisierten Kernel der eingesetzten Distribution einspielen.

Im Linux-Kernel wurde laut Quellbeschreibung eine Schwachstelle behoben: Auf der LoongArch-Architektur wird die sterbende CPU in stop_this_cpu() nun an RCU gemeldet. Es handelt sich um eine Portierung eines entsprechenden MIPS-Commits. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: verfügbare Kernel-Updates einspielen.

Eine Schwachstelle betrifft die Oracle TimesTen In-Memory Database (Komponente: Kubernetes Operator) in Version 26.1.1.1.0. Laut Quelle ist die Lücke einfach ausnutzbar. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle im Produkt PeopleSoft Enterprise FIN Common Objects von Oracle PeopleSoft betrifft die Komponente Security. Betroffen ist die Version 9.2. Die Schwachstelle ist schwer auszunutzen, kann aber die Integrität beeinträchtigen. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in der Komponente Kubernetes Operator des Produkts Oracle TimesTen In-Memory Database betrifft laut Quelle die Version 26.1.1.1.0 und ist schwer ausnutzbar. Die Ausnutzung erfolgt lokal unter erschwerten Bedingungen mit geringen Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:H/PR:L/S:C, C:H). CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der SIMATIC S7-300 CPU-Familie (inkl. ET200 CPUs und SIPLUS-Varianten) sowie S7-400 CPU-Familie wurden Sicherheitslücken identifiziert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die Twig-Sandbox verhindert laut Quelle vor Version 3.26.0 auch unter der striktesten Allow-List nicht, dass ein Template CPU-Zeit, Speicher oder Laufzeit übermässig verbraucht; dies ermöglicht nicht vertrauenswürdigen Templates eine Ressourcenerschöpfung. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Das SSL-Protokoll 3.0 verwendet in OpenSSL bis Version 1.0.1i nichtdeterministisches CBC-Padding, was Man-in-the-Middle-Angriffe zur Entschlüsselung von Klartextdaten ermöglicht (bekannt als POODLE). CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Der RC4-Algorithmus, wie er im TLS- und SSL-Protokoll eingesetzt wird, kombiniert Zustands- und Schlüsseldaten in der Initialisierungsphase nicht korrekt. Dadurch wird es entfernten Angreifern erleichtert, Plaintext-Daten durch statistische Analysen des verschlüsselten Datenverkehrs zu ermitteln. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 23.4 %.

Laut NVD sind IBM Verify Identity Access 11.0 bis 11.0.2, IBM Security Verify Access 10.0 bis 10.0.9.1 sowie die zugehörigen Container-Ausgaben (IBM Verify Identity Access Container 11.0 bis 11.0.2 und IBM Security Verify Access Container) von einer Schwachstelle betroffen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte, aber mit hoher Angriffskomplexität und erforderlicher Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Oracle-Labor-Distribution-Produkt der Oracle E-Business Suite (Komponente Internal Operations) besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In mandantenfähigen Deployments isoliert der Mechanismus zur Verwaltung der Anwendungs-Zustimmung (Consent) die Consent-Scopes zwischen den Mandanten nicht korrekt. Eine von einem Nutzer für eine bestimmte SaaS-Anwendung erteilte Zustimmung wird dadurch nicht sauber mandantenübergreifend getrennt. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Sicherheitsupdate des Herstellers nach Verfügbarkeit einspielen.

Eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware (Komponente: Data Visualization Tools) betrifft laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0.0. Die Lücke ist laut Quelle schwer ausnutzbar. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

Eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware betrifft die Komponente ADF Faces. Betroffen sind laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist schwierig auszunutzen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In Oracle PeopleSoft Enterprise CS Student Records besteht eine Schwachstelle in der Komponente Research Tracking. Betroffen ist laut Quelle die unterstützte Version 9.2.38; die Lücke gilt als schwer ausnutzbar. CVSS-Basiswert: 3.7 (Niedrig), Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die betroffene Software gemäss Oracle-Advisory aktualisieren.

Ein Fehler in der keycloak-services-Komponente von Keycloak tritt laut NVD auf, wenn ein Realm-Administrator eine Wildcard-Domain (z. B. *.example.com) konfiguriert. Betroffen ist die Identity-and-Access-Management-Lösung von Red Hat / CNCF. CVSS-Basiswert: 3.7 (Niedrig).

Eine Schwachstelle im Produkt Oracle JDeveloper der Oracle Fusion Middleware betrifft die Komponente ADF Faces. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist laut Quelle schwer ausnutzbar. CVSS-Basiswert: 3.1 (Niedrig), Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Im Oracle-Labor-Distribution-Produkt der Oracle E-Business Suite (Komponente Internal Operations) besteht eine schwer auszunutzende Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.