PT-2022-4006 · Oracle · Oracle Crystal Ball

Ronnie Salomonsen · Publicado 2022-07-19 · Atualizado 2022-07-25 · CVE-2022-21558

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Oracle Crystal Ball, versões 11.1.2.0.000 a 11.1.2.4.900

Descrição

O problema está relacionado à validação insuficiente de entradas no componente de instalação do Oracle Crystal Ball, permitindo que um invasor com privilégios limitados e acesso de logon à infraestrutura comprometa o Oracle Crystal Ball. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle Crystal Ball e podem impactar significativamente outros produtos.

Recomendações

Para as versões do Oracle Crystal Ball de 11.1.2.0.000 a 11.1.2.4.900, atualize para uma versão que inclua a correção para este problema.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

BDU:2022-04839

CVE-2022-21558

Produtos afetados

Oracle Crystal Ball

Referências · 6

• https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2022/MNDT-2022-0031/MNDT-2022-0031.md · Nota
• https://t.me/cvenotify/33529 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-04839 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-21558 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21558 · Nota de Segurança
• https://oracle.com/security-alerts/cpujul2022.html · Aviso do Fabricante