17.01.2023

BDU:2023-00425 (CVE-2023-21844) — уязвимость компонента Elastic Search пакета бизнес-приложений Oracle PeopleSoft Enterprise PeopleTools

По данным БДУ ФСТЭК России, по состоянию на 30.01.2023.

Средний — 5.4/10 Устранена

Уязвимость компонента Elastic Search пакета бизнес-приложений Oracle PeopleSoft Enterprise PeopleTools связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемым данным или получить доступ на изменение, добавление или удаление защищаемых данных

Кого касается и что делать

Уязвимое ПО: PeopleSoft Enterprise PeopleTools (Oracle) — версии 8.59, 8.60
Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com

Сведения об уязвимости

Идентификаторы	BDU:2023-00425 · CVE-2023-21844
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.4; CVSS 2.0 — 5.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N атака по сети, низкая сложность, нужны права пользователя, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и целостность
Наименование ФСТЭК	Уязвимость компонента Elastic Search пакета бизнес-приложений Oracle PeopleSoft Enterprise PeopleTools, позволяющая нарушителю получить несанкционированный доступ к защищаемым данным или получить доступ на изменение, добавление или удаление защищаемых данных
Даты	Опубликована: 30.01.2023 · Обновлена ФСТЭК: 30.01.2023 · Выявлена: 17.01.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами