PT-2020-2320 · Oracle · Oracle Marketing

Khuyenn + 1 · Publicado 2020-04-14 · Atualizado 2020-04-17 · CVE-2020-2836

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Oracle Marketing, versões 12.1.1 a 12.1.3

Descrição

O problema está relacionado a um controle de acesso insuficiente no componente Marketing Administration do Oracle Marketing, permitindo que um invasor remoto obtenha acesso não autorizado a informações protegidas por meio do protocolo HTTP. Ataques bem-sucedidos podem impactar significativamente outros produtos e resultar em acesso não autorizado a dados críticos, bem como em atualizações, inserções ou exclusões não autorizadas de alguns dados. Esses ataques requerem a interação humana de uma pessoa que não seja o invasor.

Recomendações

Para as versões 12.1.1 a 12.1.3, considere restringir o acesso ao componente Administração de Marketing até que uma correção esteja disponível. Como solução alternativa temporária, limite o uso do protocolo HTTP para operações confidenciais a fim de minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-264

Identificadores relacionados

BDU:2020-02288

CVE-2020-2836

Produtos afetados

Oracle Marketing

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2020-2836 · Nota de Segurança
• https://oracle.com/security-alerts/cpuapr2020.html · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2836 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2020-02288 · Nota de Segurança