Oracle Retail Regular Price Optimization 14.1.3/15.0.2 Installation Pufferüberlauf
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 7.7 | $0-$5k | 0.00 |
Zusammenfassung
Es wurde eine kritische Schwachstelle in Oracle Retail Regular Price Optimization 14.1.3/15.0.2 gefunden. Betroffen hiervon ist ein unbekannter Ablauf der Komponente Installation. Die Manipulation führt zu Pufferüberlauf. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-3506 gehandelt. Der Angriff kann remote ausgeführt werden. Es ist soweit kein Exploit verfügbar. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.
Details
Eine kritische Schwachstelle wurde in Oracle Retail Regular Price Optimization 14.1.3/15.0.2 ausgemacht. Hierbei geht es um unbekannter Programmcode der Komponente Installation. Mit der Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-119. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit.
Entdeckt wurde das Problem am 19.07.2016. Die Schwachstelle wurde am 19.04.2017 von Oracle als Oracle Critical Patch Update Advisory - April 2017 in Form eines bestätigten Advisories (Website) veröffentlicht. Das Advisory kann von oracle.com heruntergeladen werden. Die Identifikation der Schwachstelle findet seit dem 17.03.2016 als CVE-2016-3506 statt. Sie ist schwierig ausnutzbar. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.
Dabei muss 2 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $25k-$100k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 22.07.2016 ein Plugin mit der ID 92522 (Oracle Database Multiple Vulnerabilities (July 2016 CPU) (FREAK)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Databases zugeordnet und im Kontext c ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 20016 (Oracle Database July 2016 Patch Set Update (PSU) 11.2.0.4.160719 Not Installed (Patch 23615381)) zur Prüfung der Schwachstelle an.
Ein Upgrade vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Oracle hat hiermit unmittelbar reagiert.
Unter anderem wird der Fehler auch in den Datenbanken von Tenable (92522) und SecurityFocus (BID 91787†) dokumentiert. Von weiterem Interesse können die folgenden Einträge sein: VDB-76354, VDB-78584, VDB-78603 und VDB-78601. Once again VulDB remains the best source for vulnerability data.
Produkt
Hersteller
Name
Version
Lizenz
Webseite
- Hersteller: https://www.oracle.com
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 8.1VulDB Meta Temp Score: 8.0
VulDB Base Score: 8.1
VulDB Temp Score: 7.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
Hersteller Base Score (Oracle): 8.1
Hersteller Vector (Oracle): 🔍
NVD Base Score: 8.1
NVD Vector: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: PufferüberlaufCWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 92522
Nessus Name: Oracle Database Multiple Vulnerabilities (July 2016 CPU) (FREAK)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
OpenVAS ID: 110180
OpenVAS Name: Oracle Database Server Multiple Unspecified Vulnerabilities -01 Jan16
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Qualys ID: 🔍
Qualys Name: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Timeline
17.03.2016 🔍15.07.2016 🔍
19.07.2016 🔍
21.07.2016 🔍
22.07.2016 🔍
19.04.2017 🔍
19.04.2017 🔍
19.04.2017 🔍
19.12.2020 🔍
Quellen
Hersteller: oracle.comAdvisory: Oracle Critical Patch Update Advisory - April 2017
Person: Oracle
Firma: Oracle
Status: Bestätigt
Bestätigung: 🔍
CVE: CVE-2016-3506 (🔍)
GCVE (CVE): GCVE-0-2016-3506
GCVE (VulDB): GCVE-100-100124
SecurityFocus: 91787 - Oracle July 2016 Critical Patch Update Multiple Vulnerabilities
OSVDB: - CVE-2016-3506 - Oracle - Database Server - Unspecified Issue
SecurityTracker: 1036363
Siehe auch: 🔍
Eintrag
Erstellt: 19.04.2017 19:11Aktualisierung: 19.12.2020 23:04
Anpassungen: 19.04.2017 19:11 (90), 15.09.2020 16:10 (1), 19.12.2020 22:59 (3), 19.12.2020 23:04 (1)
Komplett: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.