Ranjivost u Java VM komponenti Oracle baze podataka omogućuje kompromis cijelog sustava

Infrasightlabs

Oracle je svim svojim korisnicima poslao ozbiljno upozorenje da odmah ažuriraju svoje sustave na najnovije verzije koje su izašle. Postoji sigurnosna ranjivost u komponenti Java VM na Oracleovom poslužitelju baze podataka koja bi se mogla iskoristiti za kompromis i prouzročiti cjelovito preuzimanje Java VM-a.

Prema detaljima Objavljeno o ranjivosti nazvanoj CVE-2018-3110 , nedostatak utječe na verzije 11.2.0.4 i 12.2.0.1 Oracle baze podataka na sustavu Windows. Utječe na verzije 12.1.0.2 na sustavima Windows i Linux / Unix. Korisnici koji se nađu u upotrebi ovih verzija bez da su primijenili CPU iz srpnja 2018. trebali bi odmah nadograditi svoje sustave.

Smatra se da je ranjivost lako iskoristiva, a napadaču s malim privilegijama ugrožava Java VM s dozvolama Create Session i mrežnim pristupom putem Oracle Net-a. Logično je da je ova lako iskoristiva i visoko rizična ranjivost dobila osnovnu ocjenu CVSSS 3.0 od 9,9, budući da Oracle obraća svim svojim kupcima da ih hitno zamole za nadogradnju svojih sustava. Ranjivost utječe na povjerljivost, integritet i dostupnost.

Korisnici bi trebali imati na umu da su ažuriranja koja je Oracle objavio za ove ranjivosti u svojim pogođenim proizvodima ograničena samo na one verzije proizvoda koje su obuhvaćene Premier podrškom u fazama proširene podrške Politike doživotne podrške. Smatra se da su i starije verzije predmetnih proizvoda potencijalno ranjive na istu vrstu kompromisa sustava. Korisnici koji još uvijek rade sa starijim verzijama Oracle baze podataka trebali bi odmah nadograditi i svoje sustave.

Prema matrici rizika koju je Oracle objavio o ovoj ranjivosti, eksploatacija nije moguća na daljinu bez odobrenja. To je relativno manje složen napad i njegovi su utjecaji na povjerljivost, integritet i dostupnost visoki. Vektor napada za exploit je Network, a jedini potreban paket ili privilegija je Create Session.