Sårbarhed i Java VM-komponent i Oracle Database giver mulighed for kompromis med hele systemet

Infrasightlabs

Oracle har sendt en streng advarsel til alle sine brugere om øjeblikkeligt at opdatere deres systemer til de nyeste versioner, der er frigivet. Der findes en sikkerhedssårbarhed i Java VM-komponenten på Oracles databaseserver, som kan udnyttes til at gå på kompromis og forårsage en sund overtagelse af Java VM.

I henhold til detaljerne offentliggjort om sårbarheden dubbet CVE-2018-3110 , påvirker fejlen version 11.2.0.4 og 12.2.0.1 af Oracle-databasen på Windows. Det påvirker version 12.1.0.2 på Windows- og Linux / Unix-enheder. Brugere, der finder sig i at bruge disse versioner uden at have anvendt CPU'en fra juli 2018, skal straks opgradere deres systemer.

Sårbarheden anses for let at kunne udnyttes, så en lavt privilegeret angriber kan kompromittere Java VM med Create Session-tilladelser og netværksadgang via Oracle Net. Det er fornuftigt, at denne let udnyttelige og høje risikosårbarhed har fået en CVSSS 3.0-basis score på 9.9, da Oracle når ud til alle sine kunder for hurtigst muligt at bede dem om at opgradere deres systemer. Sårbarheden påvirker fortrolighed, integritet og tilgængelighed.

Brugere skal bemærke, at de opdateringer, der er frigivet af Oracle for disse sårbarheder i dets berørte produkter, kun er begrænset til de produktversioner, der er omfattet af Premier Support i udvidede supportfaser i Lifetime Support Policy. Ældre versioner af de pågældende produkter menes også at være potentielt sårbare over for den samme slags systemkompromis. Brugere, der stadig arbejder med ældre versioner af Oracle Database, bør også opgradere deres systemer med det samme.

I henhold til den risikomatrix, der er offentliggjort af Oracle om denne sårbarhed, er udnyttelsen ikke mulig eksternt uden tilladelse. Det er et relativt mindre komplekst angreb, og dets indvirkning på fortrolighed, integritet og tilgængelighed er høj. Angrebsvektoren til udnyttelsen er netværk, og den eneste nødvendige pakke eller privilegium er Opret session.