2020-0780: Oracle Database Server: Mehrere Schwachstellen ermöglichen u. a. die Kompromittierung der Software

Historie:

Version 1 (2020-04-15 18:58): Neues Advisory

Betroffene Software

Server

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein entfernter Angreifer kann zwei Schwachstellen in Komponenten von Oracle Datenbankserver ausnutzen, um das System zu übernehmen. Weitere Schwachstellen ermöglichen Denial-of-Service (DoS)- und Cross-Site-Scripting (XSS)-Angriffe, das Ausspähen von Informationen und das Umgehen von Sicherheitsvorkehrungen. Mit Ausnahme von CVE-2019-2853 erfordert die erfolgreiche Ausnutzung der Schwachstelle die Interaktion durch einen Benutzer der Software. Die meisten der Schwachstellen erfordern zusätzlich niedrige oder erweiterte Privilegien. Durch Ausnutzung der schwerwiegendsten der Schwachstellen kann Einfluss auf von Oracle Database Server verschiedene Komponenten genommen werden.

Oracle veröffentlicht anlässlich des Patchtags im April 2020 Sicherheitsupdates für die unterstützten Oracle Database Server Versionen 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c und 19c zur Behebung der Schwachstellen.

Der Hersteller weist darauf hin, dass zusätzlich zu den hier referenzierten Schwachstellen auch CVE-2015-9251, CVE-2019-11358, CVE-2019-12418, CVE-2019-2756, CVE-2019-2759 und CVE-2019-2852 behoben werden.

Schwachstellen:

CVE-2016-10251

Schwachstelle in JasPer ermöglicht u. a. Denial-of-Service-Angriff

CVE-2016-7103

Schwachstelle in jQuery-UI ermöglicht Cross-Site-Scripting-Angriff

CVE-2019-17563

Schwachstelle in Apache Tomcat ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2019-2853

Schwachstelle in Oracle Outside In Technology ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-2514

Schwachstelle in Oracle Database Server ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-2734

Schwachstelle in Oracle Database Server ermöglicht Ausspähen von Informationen

CVE-2020-2735

Schwachstelle in Oracle Database Server ermöglicht komplette Kompromittierung der Software

CVE-2020-2737