Oracle Database Server (2024 年 1 月 CPU)
medium Nessus プラグイン ID 189165
Language:
概要
リモートホストは、複数の脆弱性の影響を受けます説明
リモートホストにインストールされている Oracle Database Server のバージョンは、2024 年 1 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。- Oracle Database Server の Java VM コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.21 および 21.3-21.12です。容易に悪用可能な脆弱性により、Oracle Net を介したネットワークアクセス権のある、Create Session や Create Procedure 権限を持つ権限が低い攻撃者が、Java VM を侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、重要なデータや Java VM がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2024-20903)
- Oracle Database Server の Oracle Spatial および Graph (curl) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.21、21.3-21.12、23.3 です。容易に悪用できる脆弱性により、認証ユーザー権限を持つ権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle Spatial および Graph (curl) を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Spatial および Graph (curl) をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。
(CVE-2023-38545)
- Oracle Database Server の Oracle Text コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.21 です。容易に悪用可能な脆弱性により、DBA 権限を持つ権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより、Oracle Text を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Text の部分的なサービス拒否 (部分的な DOS) が権限なしで引き起こされる可能性があります。
(CVE-2022-21432)
- 悪用不可能な脆弱性に対する多層セキュリティの更新 CVE-2022-41409、CVE-2022-46337、CVE-2023-2976、CVE-2023-4043、CVE-2023-36479、CVE-2023-40167、CVE-2023-41900、CVE-2023-42794、CVE-2023-42795、CVE-2023-44487、CVE-2023-45648、CVE-2023-46589。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
January 2024 Oracle Critical Patch Update アドバイザリに従い、適切なパッチを適用してください。参考資料
https://www.oracle.com/docs/tech/security-alerts/cpujan2024csaf.json
プラグインの詳細
深刻度: Medium
ID: 189165
ファイル名: oracle_rdbms_cpu_jan_2024.nasl
バージョン: 1.6
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Databases
公開日: 2024/1/18
更新日: 2024/4/19
設定: 徹底したチェックを有効にする
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
CVSS スコアの根本的理由: Cvss vector from vendor advisory
VPR
リスクファクター: High
スコア: 8.4
CVSS v2
リスクファクター: Medium
基本値: 6.8
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:N/I:N/A:C
CVSS スコアのソース: manual
CVSS v3
リスクファクター: Medium
基本値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
脆弱性情報
CPE: cpe:/a:oracle:database_server
パッチ公開日: 2024/1/16
脆弱性公開日: 2024/1/16
CISA の既知の悪用された脆弱性の期限日: 2023/10/31
参照情報
CVE: CVE-2022-21432, CVE-2022-41409, CVE-2022-46337, CVE-2023-2976, CVE-2023-36479, CVE-2023-38039, CVE-2023-38545, CVE-2023-38546, CVE-2023-40167, CVE-2023-4043, CVE-2023-41900, CVE-2023-42794, CVE-2023-42795, CVE-2023-44487, CVE-2023-45648, CVE-2023-46589, CVE-2024-20903
IAVA: 2024-A-0027-S