Oracle9i Application Server bis 9.0.3.1 Single Sign-On p_submit_url Cross Site Scripting

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.0$0-$5k0.00

Oracle ist eine vor allem im professionellen Umfeld gern eingesetzte Datenbank-Lösung. Die Portalkomponente wird standardmässig beim Oracle Application Server mitinstalliert. Oracle stellt eine Sigle Sign-On Lösung namens OSSO zur Verfügung. Diese weist eine Cross Site Scripting-Schwachstelle auf, über die ein Angreifer an die SSO-Benutzerkonten anderer Personen kommen kann. Oracle wurde frühzeitig über das Bestehen der Schwachstelle informiert. Sie empfehlen den p_submit_url URL-Wert zu hardcodieren, um unerwünschte Eingriffe zu verhindern. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (15676) und Tenable (57619) dokumentiert. Unter securityfocus.com werden zusätzliche Informationen bereitgestellt. Die Schwachstellen 15392, 16220, 16221 und 16679 sind ähnlich.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 57619 (Oracle Application Server Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Web Servers zugeordnet.

Eine sehr interessante Cross Site Scripting-Attacke, die zeigt, dass über einen solch verhältnismässig simplen Fehler eine als sehr sicher geltende Single Sign-On Lösung kompromittiert werden kann. Kritiker, die behaupten, dass Cross Site Scripting-Schwachstellen nur eine Modererscheinung sind und keine ernstzunehmende Gefahr darstellen, werden mit diesem Fehler eines besseren belehrt.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.0
VulDB Meta Temp Score: 5.0

VulDB Base Score: 5.0
VulDB Temp Score: 5.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 57619
Nessus Name: Oracle Application Server Multiple Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Disable
Status: 🔍

0-Day Time: 🔍

Patch: madison-gurkha.com

Timelineinfo

30.03.2004 🔍
30.03.2004 +0 Tage 🔍
30.03.2004 +0 Tage 🔍
30.03.2004 +0 Tage 🔍
31.03.2004 +1 Tage 🔍
01.04.2004 +0 Tage 🔍
04.05.2005 +398 Tage 🔍
12.09.2010 +1957 Tage 🔍
09.03.2021 +3831 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: madison-gurkha.com
Person: Madison Gurkha
Status: Nicht definiert

CVE: CVE-2004-1877 (🔍)
X-Force: 15676 - Oracle Application Server Single Sign-On login Web page spoofing, Medium Risk
Vulnerability Center: 27085 - Oracle SSO 2(9.0.2) Allows Remote Attackers to Spoof Login Pages, Low
SecuriTeam: securiteam.com
SecurityFocus: 10009 - Oracle Single Sign-On Login Page Authentication Credential Disclosure Vulnerability
Secunia: 11251 - Oracle9i Application Server Cross Site Scripting Vulnerability, Not Critical
OSVDB: 4760 - Oracle Application Server Single Sign-on (SSO) p_submit_url XSS

Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 01.04.2004 10:54
Aktualisierung: 09.03.2021 12:52
Anpassungen: 01.04.2004 10:54 (56), 13.12.2016 20:23 (28), 09.03.2021 12:50 (3), 09.03.2021 12:52 (1)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!