Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 2

Die in Log4j 1.2 enthaltene SocketServer-Klasse ist anfällig für die Deserialisierung nicht vertrauenswürdiger Daten, was in Kombination mit einem geeigneten Deserialisierungs-Gadget zur Ausführung beliebigen Codes aus der Ferne ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 69.1 %.

In FasterXML jackson-databind vor Version 2.9.10.4 wird laut NVD das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt. Betroffen ist unter anderem das Gadget br.com.anteros.dbcp.AnterosDBCPConfig (auch bekannt als anteros-core), über das sich die Schwachstelle ausnutzen lässt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Eine Schwachstelle in Cisco ISE und Cisco ISE-PIC könnte es einem authentifizierten, entfernten Angreifer mit gültigen administrativen Zugangsdaten erlauben, über eine präparierte HTTP-Anfrage beliebige Befehle auf dem zugrunde liegenden Betriebssystem auszuführen und die Rechte bis auf root auszuweiten. Ursache ist eine unzureichende Validierung von Benutzereingaben. In Single-Node-Deployments kann eine erfolgreiche Ausnutzung den ISE-Knoten unerreichbar machen und so einen Denial of Service verursachen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: den bereitgestellten Cisco-Fix einspielen.

Der JDBCAppender in Log4j 1.2.x akzeptiert konstruktionsbedingt ein SQL-Statement als Konfigurationsparameter, wobei Werte über PatternLayout eingesetzt werden. Der Message-Converter %m ermöglicht laut NVD auf diese Weise eine SQL-Injection über manipulierte Log-Nachrichten. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 9.5 %.

Eine Schwachstelle in Cisco ISE und ISE-PIC erlaubt einem authentifizierten, entfernten Angreifer die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem des betroffenen Geräts. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 8.9 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

In Oracle Identity Manager (Komponente: REST WebServices) und Oracle Web Services Manager (Komponente: Web Services) von Oracle Fusion Middleware wurde eine kritische Sicherheitslücke identifiziert. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Die Schwachstelle betrifft das Oracle Payments-Produkt der Oracle E-Business Suite (Komponente File Transmission). Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut Quelle handelt es sich um eine leicht ausnutzbare Schwachstelle, die ein nicht authentifizierter Angreifer über das Netz ausnutzen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

vm2 3.11.6 ist anfällig für einen Sandbox-Escape, der zu Remote Code Execution im Host-Node.js-Prozess führen kann. Laut NVD ist die Behebung von GHSA-m283-3h24-438v unvollständig; betroffen ist insbesondere das Bridge-Gate in lib/bridge.js:1624. CVSS-Basiswert: 10.0 (Kritisch).

Der S3-REST-Proxy von Alluxio prüft in der Standardkonfiguration laut NVD AWS-Signature-Version-4-Signaturen nicht, wodurch nicht authentifizierte Angreifer die Identität von Nutzern vortäuschen können. Laut Quelle lassen sich dadurch Benutzernamen extrahieren. CVSS-Basiswert: 9.8 (Kritisch).

In der Komponente Performance Monitor des Produkts PeopleSoft Enterprise PT PeopleTools von Oracle PeopleSoft besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 8.61 und 8.62. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Die Patches des zugehörigen Oracle Critical Patch Update einspielen.

Im Produkt WebLogic Server von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle in der Komponente Core. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In 389 Directory Server kann während der SASL-PLAIN-Authentifizierung laut NVD eine veraltete Identität aus einer Cyrus-SASL-Zusatzeigenschaft eines vorherigen fehlgeschlagenen Bind-Versuchs auf eine nachfolgende Verbindung übertragen werden. CVSS-Basiswert: 9.8 (Kritisch).

In mehreren WSO2-Produkten besteht durch unzureichende Rechtedurchsetzung in bestimmten internen SOAP Admin Services und System-REST-APIs eine Improper-Access-Control-Schwachstelle. Ein Benutzer mit geringen Rechten kann darüber nicht autorisierte Operationen ausführen, einschliesslich des Zugriffs auf Server-Informationen. Betroffen sind nur interne administrative Schnittstellen; über das API-Gateway des WSO2 API Manager bereitgestellte APIs bleiben unberührt. CVSS-Basiswert: 9.6 (Kritisch).

Im Oracle-Internet-Directory-Produkt (Komponente OID LDAP Server) von Oracle Fusion Middleware besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelldaten die Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 10 (Kritisch).

In Oracle Platform Security for Java, Teil der Oracle Fusion Middleware, besteht eine Schwachstelle in der Komponente Centralized Thirdparty Jars. Betroffen sind laut Quelle die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – der Angriff ist damit über das Netz ohne Authentifizierung und ohne Benutzerinteraktion möglich und wirkt über die Systemgrenze hinaus. Empfohlene Massnahme: die von Oracle im Rahmen des Critical Patch Update bereitgestellten Fixes einspielen.

Im Oracle-Managed-File-Transfer-Produkt von Oracle Fusion Middleware (Komponente MFT Runtime Server) bestehen in den unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0 leicht ausnutzbare Schwachstellen. CVSS-Basiswert: 9.9 (Kritisch).

Im Produkt Oracle Agile PLM von Oracle Supply Chain (Komponente Security) besteht eine leicht ausnutzbare Schwachstelle, die einem nicht authentifizierten Angreifer den Zugriff ermöglicht. Betroffen ist die unterstützte Version 9.3.6. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft den Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

Im Produkt Oracle Agile PLM aus dem Bereich Oracle Supply Chain (Komponente Security) besteht eine leicht ausnutzbare Schwachstelle, die laut Quelle von nicht authentifizierten Angreifern über das Netzwerk ausgenutzt werden kann. Betroffen ist die unterstützte Version 9.3.6. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

FreeRDP vor Version 3.29.0 (betroffen sind Versionen bis 3.28.0) weist mehrere Schwächen bei der Prüfung von TLS-Zertifikaten auf, konkret in den Funktionen tls_verify_certificate(), tls_match_hostname() und x509_utils_get_dns_names(). Dadurch kann die Identität eines Servers unzureichend verifiziert werden. CVSS-Basiswert: 9.8 (Kritisch).

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff die vollständige Kompromittierung erlaubt. Betroffen sind laut Quelldaten die Versionen 12.2.1.4.0 und 14.1.2.0.0. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das von Oracle im Rahmen des Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Version gemäss Hersteller-Advisory aktualisieren.

Das AdForest-Theme für WordPress ist in allen Versionen bis einschliesslich 6.0.9 für einen Authentication Bypass anfällig, da die Identität eines Benutzers vor der Authentifizierung nicht ausreichend überprüft wird. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Produkt Oracle Coherence von Oracle Fusion Middleware besteht in der Komponente Core eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist über das Netzwerk und ohne Authentifizierung ausnutzbar und bedroht Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch).

Im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Der Angriffsvektor ist netzbasiert und erfordert weder Authentifizierung noch Benutzerinteraktion. Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Der Angriffsvektor ist netzbasiert und erfordert weder Authentifizierung noch Benutzerinteraktion. Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft das Produkt Oracle Coherence (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

In der Komponente Core des Produkts Oracle Coherence (Oracle Fusion Middleware) besteht eine leicht ausnutzbare Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff einen Angriff ermöglicht. Laut Quelldaten sind die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0 betroffen. CVSS-Basiswert: 9.8 (Kritisch).

Im Produkt Oracle WebLogic Server von Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Im Produkt Oracle WebLogic Server der Oracle Fusion Middleware (Komponente Core) besteht eine kritische Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Versionen gemäss Hersteller-Advisory aktualisieren.

Eine kritische Schwachstelle betrifft den Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft das Produkt Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware. Betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N). Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das betreffende Oracle Critical Patch Update einspielen.

In Oracle WebLogic Server (Oracle Fusion Middleware, Komponente Console) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – Ausnutzung über das Netz ohne Authentifizierung und ohne Benutzerinteraktion, mit Scope-Wechsel. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Die Management-Console sollte grundsätzlich nicht aus dem Internet erreichbar sein.