2023-1654: Oracle JD Edwards: Mehrere Schwachstellen ermöglichen u. a. die komplette Kompromittierung der Software

Historie:

Version 1 (2023-07-19 11:54): Neues Advisory

Betroffene Software

Middleware

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um die Software vollständig zu kompromittieren und Dateien zu manipulieren.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.

Oracle veröffentlicht im Zuge des Patchtags im Juli 2023 JD Edwards EnterpriseOne Tools und JD Edwards EnterpriseOne Orchestrator jeweils in Version 9.2.7.4, um die Schwachstellen zu beheben.

Mit Behebung der Schwachstelle CVE-2022-43548 werden zusätzlich die Schwachstellen CVE-2022-3602 und CVE-2022-3786 adressiert, die aber hier nicht weiter aufgeführt werden.

Schwachstellen:

CVE-2022-1471

Schwachstelle in SnakeYAML ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-43548

Schwachstelle in Node.js ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-22050

Schwachstelle in Oracle JD Edwards ermöglicht u. a. Manipulation von Daten

CVE-2023-22055