Eddie Zhu

A vulnerabilidade afeta o componente Oracle Database - Advanced Queuing, permitindo que um invasor com privilégios elevados — possuindo privilégios de usuário DBA e acesso à rede via Oracle Net — comprometa o sistema. Ataques bem-sucedidos podem resultar no controle do Oracle Database - Advanced Queuing.

Uma vulnerabilidade no componente Oracle Database - Enterprise Edition Recovery permite que um invasor com privilégios elevados, dotado do privilégio EXECUTE ON DBMS IR.EXECUTESQLSCRIPT e acesso à rede via Oracle Net, comprometa o Oracle Database - Enterprise Edition Recovery. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle Database - Enterprise Edition Recovery.

A vulnerabilidade afeta o componente Oracle LogMiner, permitindo que um invasor com privilégios elevados, com privilégios de DBA e acesso à rede via Oracle Net, comprometa o Oracle LogMiner. Isso pode resultar em acesso não autorizado para criação, exclusão ou modificação de dados críticos, bem como acesso de leitura não autorizado a um subconjunto de dados acessíveis pelo Oracle LogMiner. Além disso, pode causar um travamento ou falhas repetidas do Oracle LogMiner.

A vulnerabilidade existe devido à validação insuficiente de entradas no componente Oracle Text do Oracle Database Server. Isso permite que um invasor remoto execute código arbitrário usando o protocolo Oracle Net. A vulnerabilidade pode ser facilmente explorada por um invasor com privilégios elevados, que possua os privilégios Create Any Procedure e Alter Any Table, além de acesso à rede via Oracle Net, resultando potencialmente na tomada de controle do Oracle Text.

O problema está relacionado ao componente JNDI e pode ser explorado por um invasor não autenticado com acesso à rede por meio de vários protocolos, podendo levar a uma negação de serviço (DOS) parcial do Java SE. Essa vulnerabilidade se aplica a implantações Java que carregam e executam código não confiável e dependem da sandbox do Java para segurança. Ela também pode ser explorada por meio de APIs no componente especificado, por exemplo, através de um serviço web que forneça dados às APIs.

O problema está relacionado à validação insuficiente de entradas no componente Oracle XML DB, permitindo que um invasor com privilégios elevados e acesso à rede via Oracle Net comprometa o Oracle XML DB. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle XML DB. O invasor deve ter os privilégios Create Any Procedure e Create Public Synonym.

O problema está relacionado à validação insuficiente de entradas no componente Oracle XML DB. Isso permite que um invasor com privilégios elevados, com privilégios de “Create Any Procedure” e “Create Public Synonym” e acesso à rede via Oracle Net, comprometa o Oracle XML DB, podendo levar a uma tomada de controle. A vulnerabilidade pode ser explorada remotamente.

O problema está relacionado à validação insuficiente de entradas no componente Oracle XML DB, permitindo que um invasor com privilégios elevados, dotado do privilégio Alter User e acesso à rede via Oracle Net, comprometa o Oracle XML DB. Isso pode resultar em acesso não autorizado a dados críticos ou acesso completo a todos os dados acessíveis pelo Oracle XML DB.

O problema é causado por uma condição de corrida em um link simbólico, permitindo que um usuário local acesse e altere a configuração do Db2. Também é descrito como sendo causado por erros de sincronização ao usar um recurso compartilhado, o que poderia permitir que um invasor modificasse a configuração do DB2.

**Nome do software vulnerável e versões afetadas: Oracle Database Server versões 12.1.0.2, 12.2.0.1, 18c e 19c Descrição: A vulnerabilidade existe devido à validação insuficiente de entradas no componente RDBMS Scheduler do Oracle Database Server, permitindo que um invasor remoto execute código arbitrário enviando pacotes de rede especialmente criados. Isso pode resultar na tomada de controle do RDBMS Scheduler. Um invasor com privilégios limitados, mas com permissão para exportar o banco de dados completo e acesso à rede via Oracle Net, pode explorar essa vulnerabilidade. Recomendações: Para as versões 12.1.0.2, 12.2.0.1, 18c e 19c, atualize para uma versão que inclua a correção para esta vulnerabilidade a fim de impedir a exploração. Como solução alternativa temporária, considere restringir o acesso à rede via Oracle Net para minimizar o risco de exploração. Restrinja o privilégio de Exportação Completa do Banco de Dados para impedir que invasores com privilégios limitados explorem a vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Oracle Database Server versões 12.2.0.1, 18c, 19c Descrição: O problema está relacionado ao componente RDBMS Sharding do Oracle Database Server, onde uma vulnerabilidade facilmente explorável permite que um invasor com privilégios elevados e acesso à rede via Oracle Net comprometa o RDBMS Sharding. Isso pode resultar na tomada de controle do RDBMS Sharding. A vulnerabilidade está associada a um controle de acesso inadequado e pode ser explorada por um invasor com privilégios de Create Any Procedure, Create Any View e Create Any Trigger. Recomendações: Para as versões 12.2.0.1, 18c e 19c, considere restringir o acesso ao componente RDBMS Sharding até que um patch esteja disponível. Como solução alternativa temporária, limite os privilégios dos usuários com privilégios de Create Any Procedure, Create Any View e Create Any Trigger para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Oracle Database Server versões 11.2.0.4, 12.1.0.2, 12.2.0.1 Descrição: O problema está relacionado à validação insuficiente de entradas no componente Database Filesystem. Isso permite que um invasor com privilégios elevados, incluindo Resource, Create Table, Create View, Create Procedure, Dbfs role e acesso à rede via Oracle Net, comprometa o Sistema de Arquivos do Banco de Dados. Ataques bem-sucedidos podem resultar na capacidade não autorizada de causar um travamento ou falhas repetidas do Sistema de Arquivos do Banco de Dados, levando a uma negação de serviço. A vulnerabilidade pode ser explorada remotamente. Recomendações: Para a versão 11.2.0.4, atualize para uma versão que inclua a correção para este problema. Para a versão 12.1.0.2, atualize para uma versão que inclua a correção para este problema. Para a versão 12.2.0.1, atualize para uma versão que inclua a correção para este problema. Como solução alternativa temporária, considere restringir o acesso ao componente Sistema de Arquivos do Banco de Dados para minimizar o risco de exploração.

O problema é causado por erros de sincronização ao usar um recurso compartilhado, o que pode permitir que um invasor obtenha acesso não autorizado a informações protegidas. Um usuário local poderia obter informações confidenciais utilizando uma condição de corrida de um link simbólico.

O problema é causado por uma verificação inadequada dos limites, levando a um estouro de buffer. Isso poderia permitir que um invasor local executasse código arbitrário no sistema com privilégios de root. A vulnerabilidade está relacionada à verificação insuficiente do tamanho dos dados copiados.

A vulnerabilidade existe devido à validação insuficiente de entradas no componente Core RDBMS do Oracle Database. A exploração dessa vulnerabilidade pode permitir que um invasor comprometa a integridade dos dados ou cause uma negação parcial de serviço. Ataques bem-sucedidos requerem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado para modificar dados ou causar uma negação parcial de serviço.

O problema está relacionado ao controle de acesso insuficiente no componente Oracle Applications DBA, permitindo que um invasor com privilégios de baixo nível e privilégio de logon local comprometa o Oracle Applications DBA. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado para modificar, adicionar ou excluir dados, bem como causar uma negação de serviço parcial.

O problema está relacionado a um controle de acesso insuficiente no componente Oracle Applications DBA do Oracle Database Server. A exploração dessa vulnerabilidade pode permitir que um invasor modifique, adicione ou exclua dados, ou provoque uma negação de serviço. A vulnerabilidade pode ser facilmente explorada por um invasor com privilégios limitados que possua privilégios de logon local na infraestrutura onde o Oracle Applications DBA é executado. Ataques bem-sucedidos requerem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado a alguns dados acessíveis pelo Oracle Applications DBA e em uma negação parcial de serviço.

The issue is a buffer overflow that could allow an authenticated local attacker to execute arbitrary code on the system as root.

The issue is caused by improper bounds checking, leading to a stack-based buffer overflow in the libdb2e.so.1 library. This could allow an attacker to execute arbitrary code.

The issue is a buffer overflow that could allow an authenticated local attacker to execute arbitrary code on the system as root.