BDU:2021-06299

Опубликовано: 02 мар. 2021

Источник: fstec

CVSS3: 8.3

CVSS2: 5.1

EPSS Низкий

Описание

Уязвимость компонента Advanced Networking Option системы управления базами данных Oracle Database Server связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек посередине» и получить полный контроль над системой

Вендор

Oracle Corp.

IBM Corp.

Наименование ПО

Instantis EnterpriseTrack

Database Server

Retail Store Inventory Management

Communications MetaSolv Solution

Communications Application Session Controller

Oracle Communications Session Report Manager

Oracle Communications Session Route Manager

Primavera Gateway

Oracle Real User Experience Insight

IBM Emptoris Contract Management

IBM Emptoris Strategic Supply Management Platform

Версия ПО

17.1 (Instantis EnterpriseTrack)

17.2 (Instantis EnterpriseTrack)

17.3 (Instantis EnterpriseTrack)

12.1.0.2 (Database Server)

12.2.0.1 (Database Server)

19c (Database Server)

16.0 (Retail Store Inventory Management)

6.3.1 (Communications MetaSolv Solution)

3.9 (Communications Application Session Controller)

от 8.0.0.0 до 8.2.5.0 включительно (Oracle Communications Session Report Manager)

от 8.2.0.0 до 8.2.5.0 включительно (Oracle Communications Session Route Manager)

от 17.12.0 до 17.12.11 включительно (Primavera Gateway)

от 18.8.0 до 18.8.12 включительно (Primavera Gateway)

от 19.12.0 до 19.12.11 включительно (Primavera Gateway)

от 20.12.0 до 20.12.7 включительно (Primavera Gateway)

13.5.1.0 (Oracle Real User Experience Insight)

13.4.1.0 (Oracle Real User Experience Insight)

14.1 (Retail Store Inventory Management)

15.0 (Retail Store Inventory Management)

от 10.1.0.0 до 10.1.0.39 (IBM Emptoris Contract Management)

от 10.1.1.0 до 10.1.1.36 (IBM Emptoris Contract Management)

от 10.1.3.0 до 10.1.3.31 (IBM Emptoris Contract Management)

от 10.1.0.0 до 10.1.0.39 (IBM Emptoris Strategic Supply Management Platform)

от 10.1.1.0 до 10.1.1.36 (IBM Emptoris Strategic Supply Management Platform)

от 10.1.3.0 до 10.1.3.31 (IBM Emptoris Strategic Supply Management Platform)

Тип ПО

Прикладное ПО информационных систем

СУБД

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,1)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Oracle:

https://www.oracle.com/security-alerts/cpujul2021.html

https://www.oracle.com/security-alerts/cpuoct2021.html

Для программных продуктов IBM:

https://access.redhat.com/security/cve/cve-2021-45046

https://www.ibm.com/support/pages/node/6507595

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-2351
CVE

EPSS

Процентиль: 84%

0.02279

Низкий

8.3 High

CVSS3

5.1 Medium

CVSS2

Связанные уязвимости

CVE-2021-2351

CVSS3: 8.3

nvd

больше 4 лет назад

Vulnerability in the Advanced Networking Option component of Oracle Database Server. Supported versions that are affected are 12.1.0.2, 12.2.0.1 and 19c. Difficult to exploit vulnerability allows unauthenticated attacker with network access via Oracle Net to compromise Advanced Networking Option. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Advanced Networking Option, attacks may significantly impact additional products. Successful attacks of this vulnerability can result in takeover of Advanced Networking Option. Note: The July 2021 Critical Patch Update introduces a number of Native Network Encryption changes to deal with vulnerability CVE-2021-2351 and prevent the use of weaker ciphers. Customers should review: "Changes in Native Network Encryption with the July 2021 Critical Patch Update" (Doc ID 2791571.1). CVSS 3.1 Base Score 8.3 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV

GHSA-gm3p-p24r-4wxq

CVSS3: 7.5

github

больше 3 лет назад