PT-2021-1913 · Oracle · Oracle E-Business Suite+1
Nam Habach
·
Publicado
2021-01-20
·
Atualizado
2021-01-25
·
CVE-2021-2034
CVSS v3.1
8.2
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N |
Nome do software vulnerável e versões afetadas
Oracle E-Business Suite, versões 12.1.1 a 12.1.3
Descrição
O problema está relacionado à validação insuficiente de entradas no componente Tasks do produto Oracle Common Applications Calendar. Isso permite que um invasor não autenticado, com acesso à rede via HTTP, comprometa o Oracle Common Applications Calendar. Ataques bem-sucedidos requerem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos. O impacto de ataques bem-sucedidos pode resultar em acesso não autorizado a dados críticos ou acesso completo a todos os dados acessíveis do Oracle Common Applications Calendar, bem como acesso não autorizado para atualização, inserção ou exclusão de alguns dos dados acessíveis do Oracle Common Applications Calendar.
Recomendações
Para as versões 12.1.1 a 12.1.3, considere restringir o acesso ao componente Tarefas do Oracle Common Applications Calendar para minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, limite o uso de solicitações HTTP ao componente afetado. Além disso, certifique-se de que todas as entradas sejam cuidadosamente validadas para impedir o acesso não autorizado ou a modificação de dados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Oracle Common Applications Calendar
Oracle E-Business Suite