PT-2020-3247 · Oracle · Oracle Database Server+1
Roger Meyer
·
Publicado
2020-07-15
·
Atualizado
2020-07-20
·
CVE-2020-2973
CVSS v2.0
5.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Oracle Application Express, versões 5.1 a 19.2
Descrição
A vulnerabilidade existe devido à validação insuficiente de entradas no componente Oracle Application Express do Oracle Database Server. A exploração dessa vulnerabilidade pode permitir que um invasor remoto obtenha acesso não autorizado para modificar, adicionar ou excluir dados, ou para acessar informações protegidas por meio do protocolo HTTP. Ataques bem-sucedidos requerem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos. Os ataques podem resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dos dados acessíveis do Oracle Application Express, bem como acesso de leitura não autorizado a um subconjunto dos dados acessíveis do Oracle Application Express.
Recomendações
Para as versões 5.1 a 19.2, considere restringir o acesso ao privilégio do SQL Workshop para minimizar o risco de exploração e certifique-se de que todos os usuários com esse privilégio sejam confiáveis e monitorados. Como solução alternativa temporária, considere desativar o acesso HTTP ao Oracle Application Express até que um patch esteja disponível. Restrinja o acesso de rede via HTTP ao componente Oracle Application Express para minimizar o risco de exploração.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Oracle Application Express
Oracle Database Server