Oracle Fusion Middleware bis 6.3.x/7.0.3/7.6.2/11.1.1.6.0 WebCenter Sites Cross Site Request Forgery
CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
4.2 | $0-$5k | 0.00 |
Eine kritische Schwachstelle wurde in Oracle Fusion Middleware bis 6.3.x/7.0.3/7.6.2/11.1.1.6.0 (Middleware) gefunden. Es geht hierbei um eine unbekannte Funktionalität der Komponente WebCenter Sites. Mit der Manipulation mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-352. Auswirkungen hat dies auf Vertraulichkeit und Integrität. Die Zusammenfassung von CVE lautet:
Unspecified vulnerability in the Oracle WebCenter Sites component in Oracle Fusion Middleware 6.1, 6.2, 6.3.x, 7, 7.0.1, 7.0.2, 7.0.3, 7.5, 7.6.1, 7.6.2, and 11.1.1.6.0 allows remote authenticated users to affect confidentiality and integrity via unknown vectors related to Advanced UI.
Die Schwachstelle wurde am 16.10.2012 von Oracle als cpuoct2012-1515893 in Form eines nicht definierten Advisories (Website) herausgegeben. Bereitgestellt wird das Advisory unter oracle.com. Eine Veröffentlichung wurde in Zusammenarbeit mit Oracle angestrebt. Die Verwundbarkeit wird seit dem 06.06.2012 mit der eindeutigen Identifikation CVE-2012-3186 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.
Ein öffentlicher Exploit wurde durch SEC Consult geschrieben und 2 Tage nach dem Advisory veröffentlicht. Der Exploit wird unter exploit-db.com zur Verfügung gestellt. Er wird als proof-of-concept gehandelt. Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 72778 (Oracle WebCenter Sites Multiple Vulnerabilities (October 2012 CPU)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet.
Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Oracle hat so sofort gehandelt.
Unter anderem wird der Fehler auch in den Datenbanken von Tenable (72778) und Exploit-DB (22041) dokumentiert. Ein Bericht in deutscher Sprache wird unter anderem durch Heise bereitgestellt. Unter darkreading.com werden zusätzliche Informationen bereitgestellt. Mit dieser Schwachstelle verwandte Einträge finden sich unter 6718, 6719, 6788 und 6696.
Produkt
Typ
Hersteller
Name
Version
- 6.0
- 6.1
- 6.2
- 6.3
- 7.0.0
- 7.0.1
- 7.0.2
- 7.0.3
- 7.6.0
- 7.6.1
- 7.6.2
- 11.1.1.0
- 11.1.1.1
- 11.1.1.2
- 11.1.1.3
- 11.1.1.4
- 11.1.1.5
- 11.1.1.6
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 4.6VulDB Meta Temp Score: 4.2
VulDB Base Score: 4.6
VulDB Temp Score: 4.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Cross Site Request ForgeryCWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Autor: SEC Consult
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 72778
Nessus Name: Oracle WebCenter Sites Multiple Vulnerabilities (October 2012 CPU)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Exploit-DB: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: PatchStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Exploit Delay Time: 🔍
Timeline
06.06.2012 🔍11.10.2012 🔍
11.10.2012 🔍
16.10.2012 🔍
16.10.2012 🔍
16.10.2012 🔍
17.10.2012 🔍
17.10.2012 🔍
17.10.2012 🔍
18.10.2012 🔍
18.04.2021 🔍
Quellen
Hersteller: oracle.comAdvisory: cpuoct2012-1515893
Firma: Oracle
Status: Nicht definiert
Bestätigung: 🔍
Koordiniert: 🔍
CVE: CVE-2012-3186 (🔍)
Vulnerability Center: 36650 - [cpuoct2012-1515893] Oracle WebCenter Sites Remote Unspecified Vulnerability via Unknown Vectors Related to Advanced UI, Medium
SecurityFocus: 55887 - RETIRED: Oracle October 2012 Critical Patch Update Multiple Vulnerabilities
Heise: 1730692
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Siehe auch: 🔍
Eintrag
Erstellt: 18.10.2012 10:00Aktualisierung: 18.04.2021 12:33
Anpassungen: 18.10.2012 10:00 (64), 19.04.2017 10:30 (17), 18.04.2021 12:33 (2)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.