Alexander Kornbrust

Existe uma vulnerabilidade de exploração difícil no Software Oracle Zero Data Loss Recovery Appliance, especificamente no componente de segurança. Um atacante não autenticado com acesso à rede por meio do Oracle Net pode comprometer o software. A exploração requer interação humana de alguém além do atacante e pode levar a um acesso de leitura não autorizado a um subconjunto dos dados do software.

Existe uma vulnerabilidade no componente JDBC do Oracle Database Server. Esta questão, difícil de ser explorada, permite que um atacante com baixos privilégios e com privilégios de usuário do sistema operacional autenticado comprometa o JDBC. Uma exploração bem-sucedida requer interação humana por parte de uma pessoa que não seja o atacante. Embora a vulnerabilidade resida no JDBC, os ataques podem impactar produtos adicionais. Ataques bem-sucedidos podem levar ao acesso não autorizado a dados críticos ou ao acesso completo a todos os dados acessíveis pelo JDBC.

A vulnerabilidade afeta o componente Oracle Database - Enterprise Edition Sharding, permitindo que um invasor com privilégios de baixo nível e acesso local comprometa o sistema. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle Database - Enterprise Edition Sharding e podem ter um impacto significativo em outros produtos.

O problema está relacionado à validação insuficiente de entradas no componente Oracle Database - Enterprise Edition Sharding do Oracle Database Server. Essa vulnerabilidade, facilmente explorável, permite que um invasor com privilégios elevados, possuindo o privilégio Create Any Procedure e acesso à rede via Oracle Net, comprometa o Oracle Database - Enterprise Edition Sharding, resultando potencialmente em uma tomada de controle.

O problema está relacionado à validação insuficiente de entradas no componente Core RDBMS do Oracle Database Server. Isso permite que um invasor com privilégios elevados, possuindo privilégios de “Create Session” e “Execute Catalog Role” e acesso à rede via Oracle Net, comprometa o Core RDBMS, resultando em acesso de leitura não autorizado a um subconjunto de dados acessíveis pelo Core RDBMS.

**Nome do software vulnerável e versões afetadas: Oracle Database Server versões 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c, 19c Descrição: A vulnerabilidade existe devido à validação insuficiente de entradas no componente Core RDBMS do Oracle Database Server. Isso pode ser explorado por um invasor remoto para comprometer a integridade das informações protegidas. Um ataque bem-sucedido pode resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dados acessíveis pelo Core RDBMS. Recomendações: Para as versões 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c, 19c, atualize para uma versão que inclua a correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Oracle Database Server versão 19c Descrição: O problema existe devido à validação insuficiente de entradas no componente de segurança do RDBMS do Oracle Database Server. Isso permite que um invasor remoto obtenha acesso não autorizado a informações protegidas utilizando a pilha de protocolos Oracle Net. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos ou acesso total a todos os dados acessíveis pelo componente de segurança do RDBMS. Recomendações: Para a versão 19c, atualize para uma versão que inclua a correção para este problema a fim de evitar a exploração. Como solução alternativa temporária, considere restringir o acesso à pilha de protocolos Oracle Net para minimizar o risco de exploração.

O problema está relacionado à implementação do mecanismo HTTP/2 no servidor HTTP Apache, que está associada a uma interpretação inconsistente de solicitações HTTP. Isso pode permitir que um invasor remoto cause uma negação de serviço. Um valor especialmente criado para o cabeçalho `Cache-Digest` em uma solicitação HTTP/2 resultaria em uma falha quando o servidor tentasse enviar um recurso via HTTP/2 PUSH posteriormente.

A vulnerabilidade existe devido à validação insuficiente de entradas no componente de script de descoberta e coleta do Oracle Configuration Manager. Isso permite que um invasor remoto obtenha acesso não autorizado a informações protegidas ou modifique, adicione ou exclua dados. A vulnerabilidade pode ser explorada por um invasor com privilégios limitados e acesso à rede via HTTP, resultando potencialmente em acesso não autorizado a dados críticos ou acesso completo a todos os dados acessíveis, bem como acesso não autorizado para atualizar, inserir ou excluir alguns dados acessíveis.

O componente da interface de usuário administrativa do TIBCO JasperReports Server, do TIBCO JasperReports Server para AWS Marketplace e do TIBCO JasperReports Server para ActiveMatrix BPM, da TIBCO Software Inc., contém uma vulnerabilidade que, teoricamente, permite que um invasor não autenticado obtenha as permissões de um “superusuário” do JasperReports Server para os sistemas afetados. O invasor pode, teoricamente, explorar a vulnerabilidade de forma consistente, remotamente e sem autenticação.

O problema está relacionado a um controle de acesso insuficiente no componente Application Performance Management do Oracle Enterprise Manager, especificamente no módulo EM Request Monitoring. Isso pode ser explorado por um invasor remoto para obter acesso não autorizado a informações confidenciais ou para modificar, adicionar ou excluir dados usando o protocolo HTTP. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos, acesso total a todos os dados acessíveis ou a capacidade de atualizar, inserir ou excluir dados, bem como causar uma negação de serviço parcial.

O problema está relacionado a uma vulnerabilidade no componente Core RDBMS do Oracle Database Server, que pode ser explorada por um invasor com privilégios elevados, detentor das funções Create Session e Execute Catalog. O invasor deve ter acesso à rede via Oracle Net. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem resultar na tomada de controle do Core RDBMS. Essa vulnerabilidade é difícil de explorar e pode ser usada por um invasor para comprometer o componente Core RDBMS.

**Nome do software vulnerável e versões afetadas: Versões do iOS anteriores à 13.4 Versões do iPadOS anteriores à 13.4 Versões do macOS Catalina anteriores à 10.15.4 Versões do tvOS anteriores à 13.4 Versões do watchOS anteriores à 6.2 Versões do iTunes para Windows anteriores à 12.10.5 Versões do iCloud para Windows anteriores à 10.9.3 e 7.18 Descrição: Um problema de estouro de buffer foi corrigido com uma verificação de limites aprimorada. Esse problema pode permitir que um invasor remoto execute código arbitrário. O problema está relacionado à biblioteca libxml2. Recomendações: Para versões do iOS anteriores à 13.4, atualize para o iOS 13.4 ou posterior. Para versões do iPadOS anteriores à 13.4, atualize para o iPadOS 13.4 ou posterior. Para versões do macOS Catalina anteriores à 10.15.4, atualize para o macOS Catalina 10.15.4 ou posterior. Para versões do tvOS anteriores à 13.4, atualize para o tvOS 13.4 ou posterior. Para versões do watchOS anteriores à 6.2, atualize para o watchOS 6.2 ou posterior. Para versões do iTunes para Windows anteriores à 12.10.5, atualize para o iTunes para Windows 12.10.5 ou posterior. Para versões do iCloud para Windows anteriores à 10.9.3 e 7.18, atualize para o iCloud para Windows 10.9.3 ou 7.18 ou posterior.

O problema está relacionado ao controle de acesso insuficiente no componente Oracle Management Service da Enterprise Manager Base Platform. Ele pode ser explorado por um invasor remoto para obter acesso não autorizado a informações protegidas ou causar uma negação de serviço usando o protocolo HTTP. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos, modificação de alguns dados acessíveis ou uma negação parcial de serviço.

O problema está relacionado ao controle de acesso insuficiente no componente Connector Framework da Oracle Enterprise Manager Base Platform. Isso pode ser explorado por um invasor remoto para obter acesso não autorizado a informações confidenciais ou causar uma negação de serviço via protocolo HTTP. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos, modificação de alguns dados acessíveis ou uma negação parcial de serviço.

O problema está relacionado ao controle de acesso insuficiente no componente Job System da Oracle Enterprise Manager Base Platform. Ele pode ser explorado por um invasor remoto para obter acesso não autorizado a informações protegidas ou causar uma negação de serviço usando o protocolo HTTP. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos, acesso para atualizar, inserir ou excluir alguns dados e a capacidade de causar uma negação de serviço parcial.

O problema está relacionado a controles de acesso inadequados no componente Infraestrutura do Oracle FLEXCUBE Investor Servicing, permitindo que um invasor não autenticado com acesso à rede via HTTP comprometa o sistema. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dados, bem como acesso de leitura não autorizado a um subconjunto de dados.

O problema está relacionado a um controle de acesso inadequado no componente Infraestrutura do Oracle FLEXCUBE Investor Servicing, permitindo que um invasor comprometa o sistema via protocolo HTTP. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos, bem como em acesso não autorizado para atualizar, inserir ou excluir alguns dados.

O problema está relacionado ao controle de acesso insuficiente no componente Application Service Level Mgmt do Oracle Enterprise Manager. Ele pode ser explorado por um invasor remoto para obter acesso não autorizado a informações protegidas ou causar uma negação de serviço usando o protocolo HTTP. Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos, acesso para atualizar, inserir ou excluir alguns dados e a capacidade de causar uma negação de serviço parcial.

O problema está relacionado a um componente do produto Enterprise Manager Base Platform, especificamente o Connector Framework, e está associado a um controle de acesso inadequado. Isso permite que um invasor com privilégios elevados e acesso à rede via HTTP comprometa a Enterprise Manager Base Platform, resultando em acesso não autorizado a dados críticos, acesso completo a todos os dados acessíveis e a capacidade de atualizar, inserir ou excluir alguns dados acessíveis. Além disso, pode causar uma negação de serviço parcial.