PT-2021-1798 · Oracle · Oracle Database Server+1
Eddie Zhu
·
Publicado
2021-01-19
·
Atualizado
2021-01-25
·
CVE-2021-2035
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
**Nome do software vulnerável e versões afetadas:
Oracle Database Server versões 12.1.0.2, 12.2.0.1, 18c e 19c
Descrição:
A vulnerabilidade existe devido à validação insuficiente de entradas no componente RDBMS Scheduler do Oracle Database Server, permitindo que um invasor remoto execute código arbitrário enviando pacotes de rede especialmente criados. Isso pode resultar na tomada de controle do RDBMS Scheduler. Um invasor com privilégios limitados, mas com permissão para exportar o banco de dados completo e acesso à rede via Oracle Net, pode explorar essa vulnerabilidade.
Recomendações:
Para as versões 12.1.0.2, 12.2.0.1, 18c e 19c, atualize para uma versão que inclua a correção para esta vulnerabilidade a fim de impedir a exploração.
Como solução alternativa temporária, considere restringir o acesso à rede via Oracle Net para minimizar o risco de exploração.
Restrinja o privilégio de Exportação Completa do Banco de Dados para impedir que invasores com privilégios limitados explorem a vulnerabilidade.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Oracle Database
Oracle Database Server