СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
О проекте StartUp Hub Контакты Компании Рынки Реклама Политика ПДн
Уязвимости
ФСТЭК России
02.03.2021

Уязвимость BDU:2021-06299

Уязвимость BDU:2021-06299

Идентификатор: BDU:2021-06299.

Наименование уязвимости: Уязвимость компонента Advanced Networking Option системы управления базами данных Oracle Database Server, позволяющая нарушителю реализовать атаку типа «человек посередине» и получить полный контроль над системой.

Описание уязвимости: Уязвимость компонента Advanced Networking Option системы управления базами данных Oracle Database Server связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек посередине» и получить полный контроль над системой
Уязвимое ПО: Прикладное ПО информационных систем Oracle Corp. Instantis EnterpriseTrack 17.1 | Прикладное ПО информационных систем Oracle Corp. Instantis EnterpriseTrack 17.2 | Прикладное ПО информационных систем Oracle Corp. Instantis EnterpriseTrack 17.3 | СУБД Oracle Corp. Database Server 12.1.0.2 | СУБД Oracle Corp. Database Server 12.2.0.1 | СУБД Oracle Corp. Database Server 19c | Прикладное ПО информационных систем, Сетевое программное средство Oracle Corp. Retail Store Inventory Management 16.0 | Прикладное ПО информационных систем Oracle Corp. Communications MetaSolv Solution 6.3.1 | Сетевое программное средство Oracle Corp. Communications Application Session Controller 3.9 | Прикладное ПО информационных систем Oracle Corp. Oracle Communications Session Report Manager от 8.0.0.0 до 8.2.5.0 включительно | Прикладное ПО информационных систем Oracle Corp. Oracle Communications Session Route Manager от 8.2.0.0 до 8.2.5.0 включительно | Прикладное ПО информационных систем Oracle Corp. Primavera Gateway от 17.12.0 до 17.12.11 включительно | Прикладное ПО информационных систем Oracle Corp. Primavera Gateway от 18.8.0 до 18.8.12 включительно | Прикладное ПО информационных систем Oracle Corp. Primavera Gateway от 19.12.0 до 19.12.11 включительно | Прикладное ПО информационных систем Oracle Corp. Primavera Gateway от 20.12.0 до 20.12.7 включительно | Прикладное ПО информационных систем Oracle Corp. Oracle Real User Experience Insight 13.5.1.0 | Прикладное ПО информационных систем Oracle Corp. Oracle Real User Experience Insight 13.4.1.0 | Прикладное ПО информационных систем, Сетевое программное средство Oracle Corp. Retail Store Inventory Management 14.1 | Прикладное ПО информационных систем, Сетевое программное средство Oracle Corp. Retail Store Inventory Management 15.0 | Прикладное ПО информационных систем IBM Corp. IBM Emptoris Contract Management от 10.1.0.0 до 10.1.0.39 | Прикладное ПО информационных систем IBM Corp. IBM Emptoris Contract Management от 10.1.1.0 до 10.1.1.36 | Прикладное ПО информационных систем IBM Corp. IBM Emptoris Contract Management от 10.1.3.0 до 10.1.3.31 | Прикладное ПО информационных систем IBM Corp. IBM Emptoris Strategic Supply Management Platform от 10.1.0.0 до 10.1.0.39 | Прикладное ПО информационных систем IBM Corp. IBM Emptoris Strategic Supply Management Platform от 10.1.1.0 до 10.1.1.36 | Прикладное ПО информационных систем IBM Corp. IBM Emptoris Strategic Supply Management Platform от 10.1.3.0 до 10.1.3.31 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 02.03.2021.
CVSS 2.0: AV:N/AC:H/Au:N/C:P/I:P/A:P
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,1)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,3)

Возможные меры по устранению:
Использование рекомендаций:
Для программных продуктов Oracle:
https://www.oracle.com/security-alerts/cpujul2021.html
https://www.oracle.com/security-alerts/cpuoct2021.html

Для программных продуктов IBM:
https://access.redhat.com/security/cve/cve-2021-45046
https://www.ibm.com/support/pages/node/6507595.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2021-2351.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
http://packetstormsecurity.com/files/165255/Oracle-Database-Protection-Mechanism-Bypass.html
http://packetstormsecurity.com/files/165258/Oracle-Database-Weak-NNE-Integrity-Key-Derivation.html
http://seclists.org/fulldisclosure/2021/Dec/19
http://seclists.org/fulldisclosure/2021/Dec/20
https://www.oracle.com/security-alerts/cpujul2021.html
https://www.oracle.com/security-alerts/cpuoct2021.html
https://nvd.nist.gov/vuln/detail/CVE-2021-2351
https://www.cybersecurity-help.cz/vdb/SB2021072053
https://www.ibm.com/support/pages/security-bulletin-oracle-database-server-vulnerability-affects-ibm-emptoris-contract-management-cve-2021-2351
https://www.ibm.com/support/pages/node/6507595

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии: