2018-0727: Oracle JD Edwards: Mehrere Schwachstellen ermöglichen u.a. die Übernahme von Systemkomponenten

Historie:

Version 1 (2018-04-18 14:43): Neues Advisory
Version 2 (2018-12-12 12:04): Oracle aktualisiert die Informationen im Sicherheitshinweis zu JD Edwards EnterpriseOne Tools und gibt an, dass Version 9.2 von den Schwachstellen betroffen ist. Ursprünglich war hier Version 9.2.2 angegeben.

Betroffene Software

Middleware

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann mehrere Schwachstellen in den Komponenten JD Edwards World Security (Subkomponente: Security Vulnerability (Apache Log4j)) und JD Edwards EnterpriseOne Tools (Subkomponenten: EnterpriseOne Mobility Sec (jackson-databind), Enterprise Infrastructure SEC (OpenSSL)) von Oracle JD Edwards Products ausnutzen, um die betreffenden Systemkomponenten komplett zu übernehmen oder unautorisiert kritische Daten oder alle über JD Edwards EnterpriseOne Tools zugänglichen Daten zu lesen.

Oracle informiert über die Schwachstellen und stellt Sicherheitsupdates für JD Edwards EnterpriseOne Tools Version 9.2.2 sowie JD Edwards World Security A9.2, A9.3 und A9.4 bereit, um die jeweils relevanten Schwachstellen zu beheben.

Schwachstellen:

CVE-2017-15095

Schwachstelle in jackson-databind ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-3736

Schwachstelle in OpenSSL ermöglicht Ausspähen von Informationen

CVE-2017-5645

Schwachstelle in Apache Log4j ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-7525