2021-0138: Oracle PeopleSoft Products: Mehrere Schwachstellen ermöglichen u. a. die komplette Kompromittierung der Software

Historie:

Version 1 (2021-01-20 15:42): Neues Advisory

Betroffene Software

Entwicklung
Middleware

Betroffene Plattformen

Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um die Software vollständig zu kompromittieren, Dateien zu manipulieren und Informationen auszuspähen. Zudem kann ein Angreifer eine Schwachstelle lokal und eine weitere im benachbarten Netzwerk ausnutzen, um die betroffene Software vollständig zu kompromittieren. Für die Ausnutzung der meisten Schwachstellen sind keine Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann Einfluss auf andere Komponenten haben.

Weiterhin informiert Oracle darüber, dass mit dem Patch für die Schwachstelle CVE-2019-0227 auch die Schwachstelle CVE-2018-8032 und mit dem Patch für CVE-2020-11022 auch die Schwachstelle CVE-2020-11023 adressiert werden.

Oracle stellt im Zuge des Patchtages im Januar 2021 Sicherheitsupdates für PeopleSoft Enterprise PeopleTools 8.56, 8.57 und 8.58, PeopleSoft Enterprise HCM Human Resources 9.2 sowie PeopleSoft Enterprise FIN Payables 9.2 zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2019-0227

Schwachstelle in Oracle Fusion Middleware, Oracle Secure Global Desktop, Oracle PeopleSoft ermöglicht komplette Kompromittierung der Software

CVE-2020-11022

Schwachstelle in jQuery ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-1968

Schwachstelle in OpenSSL ermöglicht Ausspähen von Informationen

CVE-2020-9281

Schwachstelle in CKEditor ermöglicht Cross-Site-Scripting-Angriff

CVE-2021-2043

Schwachstelle in Oracle PeopleSoft ermöglicht u. a. Manipulation von Daten

CVE-2021-2044

Schwachstelle in Oracle PeopleSoft ermöglicht Ausspähen von Informationen

CVE-2021-2063

Schwachstelle in Oracle PeopleSoft ermöglicht komplette Kompromittierung der Software

CVE-2021-2071