PT-2021-7201

CVE-2021-2456

Publicado

2021-07-20

Atualizado

2021-07-22

Descrição por

CVSS 2.0

Crítica

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Oracle Business Intelligence Enterprise Edition versão 12.2.1.4.0

Descrição

A vulnerabilidade existe devido à validação insuficiente de entradas no componente Analytics Web General do Oracle Business Intelligence Enterprise Edition. Isso permite que um invasor remoto obtenha controle total sobre o aplicativo por meio do protocolo HTTP. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle Business Intelligence Enterprise Edition.

Recomendações

Para a versão 12.2.1.4.0, considere desativar o BIRemotingServlet para impedir a desserialização de dados não confiáveis até que um patch esteja disponível. Restrinja o acesso ao componente Analytics Web General para minimizar o risco de exploração. Evite usar o protocolo HTTP para acessar o componente vulnerável até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Longofo

Peterjson

R00T4Dm

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation

Identificadores relacionados