2024-1856: JD Edwards EnterpriseOne Tools: Mehrere Schwachstellen ermöglichen u. a. das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2024-07-17 10:40)

Neues Advisory

Betroffene Software

Middleware
Sicherheit

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, einen Cross-Site-Scripting (XSS)-Angriff durchzuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Zudem kann ein Angreifer eine Schwachstelle lokal ausnutzen, um Informationen auszuspähen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung zweier Schwachstellen kann Einfluss auf andere Komponenten haben.

Oracle stellt im Rahmen des Patchtags im Juli 2024 ein Sicherheitsupdate für JD Edwards World Security A9.4 sowie die Version 9.2.8.3 für JD Edwards EnterpriseOne Orchestrator und die Version 9.2.8.2 für JD Edwards EnterpriseOne Tools bereit, um die Schwachstellen zu beheben.

Mit Behebung der Schwachstellen CVE-2023-3817 und CVE-2023-38552 werden zusätzlich die Schwachstellen CVE-2023-3446, CVE-2023-39331, CVE-2023-39332, CVE-2023-44487 und CVE-2024-27983 adressiert, die aber hier nicht weiter aufgeführt werden.

Schwachstellen:

CVE-2022-31160

Schwachstelle in jQuery-UI ermöglicht Cross-Site-Scripting-Angriff

CVE-2023-33201

Schwachstelle in Bouncy Castle ermöglicht Ausspähen von Informationen

CVE-2023-35887

Schwachstelle in Oracle Fusion Middleware ermöglicht Ausspähen von Informationen

CVE-2023-3817

Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff

CVE-2023-38552

Schwachstelle in Node.js ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2023-6129

Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff

CVE-2024-21150

Schwachstelle in Oracle JD Edwards ermöglicht u. a. Manipulation von Daten

CVE-2024-21168

Schwachstelle in Oracle JD Edwards ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.