Oracle Database 10g 10.2.0.3 SQL Injection

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.9$0-$5k0.00

Es wurde eine kritische Schwachstelle in Oracle Database 10g 10.2.0.3 (Database Software) entdeckt. Hiervon betroffen ist ein unbekannter Codeblock. Dank der Manipulation mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-89 vorgenommen. Das hat Auswirkungen auf Vertraulichkeit und Integrität. CVE fasst zusammen:

Unspecified vulnerability in the Change Data Capture component in Oracle Database 10.1.0.5, 10.2.0.3, and 11.1.0.6 has unknown impact and remote authenticated attack vectors related to DBMS_CDC_UTILITY, aka DB02. NOTE: the previous information was obtained from the April 2008 CPU. Oracle has not commented on reliable researcher claims that DB02 is for SQL injection in LOCK_CHANGE_SET.

Entdeckt wurde das Problem am 15.04.2008. Die Schwachstelle wurde am 16.04.2008 durch Esteban Martinez Fayo (Portcullis) von Application Security, Inc. (Website) publik gemacht. Das Advisory kann von xforce.iss.net heruntergeladen werden. Die Verwundbarkeit wird seit dem 15.04.2008 unter CVE-2008-1815 geführt. Das Ausnutzen gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1505.

Er wird als proof-of-concept gehandelt. Für den Vulnerability Scanner Nessus wurde am 16.11.2011 ein Plugin mit der ID 56060 (Oracle Database Multiple Vulnerabilities (April 2008 CPU)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Databases zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 19232 (Oracle April 2008 Security Update Multiple Vulnerabilities) zur Prüfung der Schwachstelle an.

Ein Upgrade vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Oracle hat vorab reagiert. Weiterführend können Angriffe durch TippingPoint mittels dem Filter 6063 erkannt werden.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (41998) und Tenable (56060) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter 41992, 41991, 41990 und 41989.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 4.9

VulDB Base Score: 5.4
VulDB Temp Score: 4.9
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
ATT&CK: T1505

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 56060
Nessus Name: Oracle Database Multiple Vulnerabilities (April 2008 CPU)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍
TippingPoint: 🔍

Timelineinfo

10.04.2008 🔍
15.04.2008 +5 Tage 🔍
15.04.2008 +0 Tage 🔍
15.04.2008 +0 Tage 🔍
15.04.2008 +0 Tage 🔍
16.04.2008 +1 Tage 🔍
16.04.2008 +0 Tage 🔍
16.04.2008 +0 Tage 🔍
17.04.2008 +1 Tage 🔍
16.11.2011 +1308 Tage 🔍
16.03.2015 +1216 Tage 🔍
08.08.2019 +1606 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: xforce.iss.net
Person: Esteban Martinez Fayo (Portcullis)
Firma: Application Security, Inc.
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2008-1815 (🔍)
X-Force: 41998
SecurityTracker: 1019855
Vulnerability Center: 18184 - Change Data Capture Component in Oracle Database Unspecified vulnerability DB02, Medium
SecurityFocus: 28725 - Oracle April 2008 Critical Patch Update Multiple Vulnerabilities
Secunia: 29829
OSVDB: 44505 - CVE-2008-1815 - Oracle - Database Server - Unspecified Issue
Vupen: ADV-2008-1233

Siehe auch: 🔍

Eintraginfo

Erstellt: 16.03.2015 17:00
Aktualisierung: 08.08.2019 15:36
Anpassungen: 16.03.2015 17:00 (65), 08.08.2019 15:36 (18)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!