Oracle データベースの複数の脆弱性（2017年7月 CPU） (POODLE) (SWEET32)

critical Nessus プラグイン ID 101836

Language:

概要

リモートのデータベースサーバーは、複数の脆弱性の影響を受けます。

説明

リモートの Oracle データベースサーバーには、2017 年 7 月の Critical Patch Update（CPU）がありません。したがって、以下の脆弱性の影響を受けます。- 暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージを復号するとき、SSL 3.0がパディングバイトを処理するため、中間者（MitM）情報漏えいの脆弱性（別称POODLE）がありします。被害を受けるアプリケーションに新たに作成した SSL 3.0 接続を通じて同じデータを繰り返し送信させることができる場合、MitM 攻撃者は、暗号テキスト内の選択したバイトをわずか 256 回の試行で復号できます。（CVE-2014-3566）- 脆弱な64ビットのブロック暗号をデフォルトで使用しているため、SWEET32として知られる脆弱性が3DESとBlowfishのアルゴリズムにあります。十分なリソースを持つ中間にいる攻撃者が、「誕生日」攻撃を通じて、この脆弱性を悪用し、固定された秘密情報と既知の平文の間でXORを漏えいする衝突を検出します。これにより、安全なHTTPSクッキーなどの秘密のテキストが漏えいし、認証されたセッションの乗っ取りが引き起こされる可能性があります。（CVE-2016-2183）- RDBMSセキュリティコンポーネントに詳細不明な脆弱性が存在し、ローカルの攻撃者が整合性に影響を及ぼす可能性があります。攻撃者にはセッション制作権限、または辞書を選択する権限が必要であることを留意してください。（CVE-2017-10120）- OJVMコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性、整合性、可用性に影響を与える可能性があります。攻撃者にはセッション作成軽減、またはプロシージャ作成軽減が必要であることを留意してください。（CVE-2017-10202）