Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 2

Die in Log4j 1.2 enthaltene SocketServer-Klasse ist anfällig für die Deserialisierung nicht vertrauenswürdiger Daten, was in Kombination mit einem geeigneten Deserialisierungs-Gadget zur Ausführung beliebigen Codes aus der Ferne ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 69.1 %.

In FasterXML jackson-databind vor Version 2.9.10.4 wird laut NVD das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt. Betroffen ist unter anderem das Gadget br.com.anteros.dbcp.AnterosDBCPConfig (auch bekannt als anteros-core), über das sich die Schwachstelle ausnutzen lässt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Die Schwachstelle betrifft das Oracle Payments-Produkt der Oracle E-Business Suite (Komponente File Transmission). Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut Quelle handelt es sich um eine leicht ausnutzbare Schwachstelle, die ein nicht authentifizierter Angreifer über das Netz ausnutzen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 13.0 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Der JDBCAppender in Log4j 1.2.x akzeptiert konstruktionsbedingt ein SQL-Statement als Konfigurationsparameter, wobei Werte über PatternLayout eingesetzt werden. Der Message-Converter %m ermöglicht laut NVD auf diese Weise eine SQL-Injection über manipulierte Log-Nachrichten. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 9.5 %.

In Oracle Identity Manager (Komponente: REST WebServices) und Oracle Web Services Manager (Komponente: Web Services) von Oracle Fusion Middleware wurde eine kritische Sicherheitslücke identifiziert. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Eine Schwachstelle in Cisco ISE und ISE-PIC erlaubt einem authentifizierten, entfernten Angreifer die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem des betroffenen Geräts. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

In der Komponente Performance Monitor des Produkts PeopleSoft Enterprise PT PeopleTools von Oracle PeopleSoft besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 8.61 und 8.62. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Die Patches des zugehörigen Oracle Critical Patch Update einspielen.

Im Produkt WebLogic Server von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle in der Komponente Core. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Im Oracle-Internet-Directory-Produkt (Komponente OID LDAP Server) von Oracle Fusion Middleware besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelldaten die Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 10 (Kritisch).

In Oracle Platform Security for Java, Teil der Oracle Fusion Middleware, besteht eine Schwachstelle in der Komponente Centralized Thirdparty Jars. Betroffen sind laut Quelle die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – der Angriff ist damit über das Netz ohne Authentifizierung und ohne Benutzerinteraktion möglich und wirkt über die Systemgrenze hinaus. Empfohlene Massnahme: die von Oracle im Rahmen des Critical Patch Update bereitgestellten Fixes einspielen.

Im Oracle-Managed-File-Transfer-Produkt von Oracle Fusion Middleware (Komponente MFT Runtime Server) bestehen in den unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0 leicht ausnutzbare Schwachstellen. CVSS-Basiswert: 9.9 (Kritisch).

Im Produkt Oracle Agile PLM von Oracle Supply Chain (Komponente Security) besteht eine leicht ausnutzbare Schwachstelle, die einem nicht authentifizierten Angreifer den Zugriff ermöglicht. Betroffen ist die unterstützte Version 9.3.6. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft den Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

Im Produkt Oracle Agile PLM aus dem Bereich Oracle Supply Chain (Komponente Security) besteht eine leicht ausnutzbare Schwachstelle, die laut Quelle von nicht authentifizierten Angreifern über das Netzwerk ausgenutzt werden kann. Betroffen ist die unterstützte Version 9.3.6. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff die vollständige Kompromittierung erlaubt. Betroffen sind laut Quelldaten die Versionen 12.2.1.4.0 und 14.1.2.0.0. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das von Oracle im Rahmen des Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Version gemäss Hersteller-Advisory aktualisieren.

Im Produkt Oracle Coherence von Oracle Fusion Middleware besteht in der Komponente Core eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist über das Netzwerk und ohne Authentifizierung ausnutzbar und bedroht Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch).

Im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Der Angriffsvektor ist netzbasiert und erfordert weder Authentifizierung noch Benutzerinteraktion. Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Der Angriffsvektor ist netzbasiert und erfordert weder Authentifizierung noch Benutzerinteraktion. Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft das Produkt Oracle Coherence (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

In der Komponente Core des Produkts Oracle Coherence (Oracle Fusion Middleware) besteht eine leicht ausnutzbare Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff einen Angriff ermöglicht. Laut Quelldaten sind die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0 betroffen. CVSS-Basiswert: 9.8 (Kritisch).

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle WebLogic Server der Oracle Fusion Middleware (Komponente Core) besteht eine kritische Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Versionen gemäss Hersteller-Advisory aktualisieren.

Eine kritische Schwachstelle betrifft den Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft das Produkt Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

In Oracle WebLogic Server (Oracle Fusion Middleware, Komponente Console) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – Ausnutzung über das Netz ohne Authentifizierung und ohne Benutzerinteraktion, mit Scope-Wechsel. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Die Management-Console sollte grundsätzlich nicht aus dem Internet erreichbar sein.

Im Produkt WebLogic Server der Oracle Fusion Middleware (Komponente: Console) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Das zugehörige Oracle Critical Patch Update einspielen.

Tyler Identity Local (TID-L) verwendet dokumentierte, standardmässig gesetzte Administrator-Zugangsdaten. Laut Quelle werden Anwender vor der Inbetriebnahme nicht dazu gezwungen, diese Zugangsdaten zu ändern, wodurch ein nicht authentifizierter Zugriff mit administrativen Rechten möglich ist. Die Quelle weist zudem darauf hin, dass TID-L seit Dezember 2020 nicht mehr ausgeliefert wird. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Produkt Oracle WebCenter Sites von Oracle Fusion Middleware (Komponente WebCenter Sites) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle WebCenter Sites von Oracle Fusion Middleware (Komponente WebCenter Sites) besteht eine leicht ausnutzbare Schwachstelle. Betroffen ist die unterstützte Version 14.1.2.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle WebCenter Sites von Oracle Fusion Middleware (Komponente WebCenter Sites) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle Identity Manager von Oracle Fusion Middleware (Komponente OIM Legacy UI) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt WebLogic Server der Oracle Fusion Middleware (Komponente: Core) besteht eine Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist gemäss Beschreibung leicht ausnutzbar. Der CVSS-Vektor weist hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sowie eine Wirkung über die Systemgrenze hinaus aus (Scope: Changed). CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In der Kernkomponente (Core) des Produkts Oracle Coherence (Oracle Fusion Middleware) besteht eine leicht ausnutzbare Schwachstelle. Laut Quelldaten sind die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0 betroffen. CVSS-Basiswert: 10 (Kritisch). Der Angriffsvektor ist netzbasiert und erfordert weder Authentifizierung noch Benutzerinteraktion. Empfohlene Massnahme: das entsprechende Oracle Critical Patch Update einspielen.

Im Produkt Oracle Access Manager von Oracle Fusion Middleware (Komponente Authentication Engine) besteht eine kritische Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.1.0. Die Lücke ist ohne Rechte und ohne Benutzerinteraktion über das Netzwerk leicht ausnutzbar (Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: betroffene Produkte gemäss Oracle-Advisory aktualisieren.