PT-2021-7112 · Oracle · Oracle Database Server+1
Ved Prabhu
·
Publicado
2021-07-20
·
Atualizado
2021-07-21
·
CVE-2021-2460
CVSS v2.0
7.0
Alta
| Vetor | AV:N/AC:M/Au:S/C:C/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do Oracle Application Express Data Reporter anteriores à 21.1.0.00.04
Descrição
O problema está relacionado à validação insuficiente de entradas no componente Oracle Application Express Data Reporter do Oracle Database Server. Essa vulnerabilidade, facilmente explorável, permite que um invasor com privilégios limitados, possuindo uma conta de usuário válida e acesso à rede via HTTP, comprometa o Oracle Application Express Data Reporter. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos. A vulnerabilidade pode resultar em acesso não autorizado para atualização, inserção ou exclusão de alguns dos dados acessíveis do Oracle Application Express Data Reporter, bem como acesso não autorizado para leitura de um subconjunto dos dados acessíveis do Oracle Application Express Data Reporter.
Recomendações
Para versões anteriores à 21.1.0.00.04, atualize para a versão 21.1.0.00.04 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente Oracle Application Express Data Reporter para minimizar o risco de exploração. Além disso, certifique-se de que todas as entradas sejam cuidadosamente validadas para impedir o acesso não autorizado.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Oracle Application Express Data Reporter
Oracle Database Server