Множественные уязвимости в продуктах Oracle
| Дата публикации: | 16.04.2009 |
| Дата изменения: | 28.05.2009 |
| Всего просмотров: | 3247 |
| Опасность: | Высокая |
| Наличие исправления: | Да |
| Количество уязвимостей: | 1 |
| CVE ID: |
CVE-2009-0972 CVE-2009-0973 CVE-2009-0974 CVE-2009-0975 CVE-2009-0976 CVE-2009-0977 CVE-2009-0978 CVE-2009-0980 CVE-2009-0981 CVE-2009-0982 CVE-2009-0983 CVE-2009-0984 CVE-2009-0986 CVE-2009-0988 CVE-2009-0989 CVE-2009-0990 CVE-2009-0991 CVE-2009-0992 CVE-2009-0993 CVE-2009-0994 CVE-2009-0995 CVE-2009-0996 CVE-2009-0997 CVE-2009-0998 CVE-2009-0999 CVE-2009-1000 CVE-2009-1008 CVE-2009-1009 CVE-2009-1010 CVE-2009-1011 CVE-2009-1013 CVE-2009-1014 CVE-2009-1017 CVE-2009-0979 CVE-2009-0985 |
| Вектор эксплуатации: | Удаленная |
| Воздействие: |
Неавторизованное изменение данных Обход ограничений безопасности Компрометация системы |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: |
Oracle9i Database Standard Edition
Oracle9i Database Enterprise Edition Oracle Database 10.x Oracle Database 11.x Oracle Application Server 10g Oracle E-Business Suite 11i Oracle E-Business Suite 12.x Oracle BI Publisher 10.x Oracle Outside In HTML Export 8.x Oracle XML Publisher 5.x Oracle PeopleSoft Enterprise Tools 8.x Oracle PeopleSoft Enterprise Human Resource Management System 8.x Oracle PeopleSoft Enterprise Human Resource Management System 9.x |
| Уязвимые версии: Oracle Database 11g, версия 11.1.0.6, 11.1.0.7 Oracle Database 10g Release 2, версии 10.2.0.3, 10.2.0.4 Oracle Database 10g, версия 10.1.0.5 Oracle Database 9i Release 2, версии 9.2.0.8, 9.2.0.8DV Oracle Application Server 10g Release 2 (10.1.2), версия 10.1.2.3.0 Oracle Outside In SDK HTML Export 8.2.2, 8.3.0 Oracle XML Publisher 5.6.2, 10.1.3.2, 10.1.3.2.1 Oracle BI Publisher 10.1.3.3.0 10.1.3.3.1, 10.1.3.3.2, 10.1.3.3.3, 10.1.3.4 Oracle E-Business Suite Release 12, версия 12.0.6 Oracle E-Business Suite Release 11i, версия 11.5.10.2 PeopleSoft Enterprise PeopleTools версии: 8.49 PeopleSoft Enterprise HRMS версии: 8.9 and 9.0 Описание: 1. Уязвимость существует из-за ошибки форматной строки в демоне Oracle Process Manager and Notification (opmn). Удаленный пользователь может с помощью специально сформированного POST запроса, отправленного на порт 6000/TCP, выполнить произвольный код на целевой системе. 2. Уязвимость существует из-за недостаточной обработки входных данных в пакете "DBMS_AQIN". Удаленный пользователь может выполнить произвольные SQL команды в базе данных приложения. 3. Уязвимость существует из-за ошибки в Application Express компоненте, входящем в состав Oracle Database. Непривилегированный пользователь базы данных может получить доступ к хешам APEX паролей в "LOWS_030000.WWV_FLOW_USER". 4. Уязвимость существует из-за недостаточной проверки входных данных в пакете "DBMS_AQADM_SYS". Удаленный пользователь может выполнить произвольные SQL команды в базе данных приложения. 5. Уязвимость существует из-за недостаточной обработки входных данных в процедуре "ROLLBACKWORKSPACE" в PL/SQL пакете "LT" в компоненте Oracle Workspace Manager. Удаленный пользователь может выполнить произвольные SQL команды в базе данных. 6. Уязвимость существует из-за двух ошибок проверки границ данных в Outside In Technology при обработке Microsoft Excel файлов. Удаленный пользователь может с помощью специально сформированного Microsoft Excel файла вызвать переполнение стека и выполнить произвольный код на целевой системе. 7. Целочисленные переполнения обнаружены в Outside In Technology при обработке некоторых потоков данных в Microsoft Office файлах. Удаленный пользователь может с помощью специально сформированного документа Microsoft Office вызвать переполнение динамической памяти и выполнить произвольный код на целевой системе. 8. Целочисленное переполнение существует из-за ошибки в Outside In Technology при обработке Microsoft Excel файлов. Удаленный пользователь может с помощью специально сформированного Microsoft Excel файла вызвать переполнении динамической памяти и выполнить произвольный код на целевой системе. 9. Уязвимость существует из-за ошибки проверки границ данных в Outside In Technology при обработке некоторых записей в Microsoft Excel файлах. Удаленный пользователь может с помощью специально сформированного Microsoft Excel файла вызвать переполнение стека и выполнить произвольный код на целевой системе. Подробности об остальных уязвимостях не разглашаются. URL производителя: www.oracle.com Решение: Установите исправление с сайта производителя. Журнал изменений:
05.05.2009 |
|
| Ссылки: |
ZDI-09-017: Oracle Applications Server 10g Format String Vulnerability Oracle Critical Patch Update Advisory - April 2009 Oracle RDBMS 10.2.0.3/11.1.0.6 TNS Listener PoC iDefense Security Advisory 05.14.09: Multiple Vendor Outside In Multiple Integer Overflow Vulnerabilities iDefense Security Advisory 05.14.09: Multiple Vendor Outside In Spreadsheet Integer Overflow Vulnerability iDefense Security Advisory 05.14.09: Multiple Vendor Outside In Spreadsheet Buffer Overflow Vulnerability iDefense Security Advisory 05.14.09: Multiple Vendor Outside In Multiple Spreadsheet Buffer Overflow Vulnerabilities |
|
|
http://www.red-database-security.com/advisory/oracle_sql_injection_dbms_aqin.html http://www.red-database-security.com/advisory/apex_password_hashes.html http://www.red-database-security.com/advisory/oracle_sql_injection_dbms_aqadm_sys.html http://www.appsecinc.com/resources/alerts/oracle/2009-03.shtml |