Oracle Database mdsys.reset_inprog_index() SQL-Injection

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.4$0-$5k0.00

Zusammenfassunginfo

Eine problematische Schwachstelle wurde in Oracle Database Server 10.2.0.3/10.2.0.4/10.2.0.5/11.1.0.7/11.2.0.1 entdeckt. Es betrifft die Funktion mdsys.reset_inprog_index. Mittels Manipulieren mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2010-4420 gelistet. Der Angriff kann remote ausgeführt werden. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Oracle ist eine vor allem im professionellen Umfeld gern eingesetzte Datenbank-Lösung. Es wurden verschiedene Schwachstellen in den Versionen 10.x und 11.x gemeldet. Eine davon betrifft die Prozedur mdsys.reset_inprog_index() , welche keine vollumfängliche Eingabeüberprüfung durchführt. Dadurch kann eine SQL-Injection durchgesetzt werden. Weitere technische Details zur Schwachstelle sind nicht bekannt. Der Fehler wurde durch einen Patch behoben. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (64760), Tenable (51573), SecurityFocus (BID 45855†), OSVDB (70555†) und Secunia (SA42895†) dokumentiert. Die Einträge VDB-4241, VDB-4244, VDB-4245 und VDB-4246 sind sehr ähnlich. Be aware that VulDB is the high quality source for vulnerability data.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 51573 (Oracle Database Multiple Vulnerabilities (January 2011 CPU)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Databases zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 19608 (Oracle Database January 2011 Security Update Multiple Vulnerabilities (CPUJAN2011)) zur Prüfung der Schwachstelle an.

Obschon Angriffe auf Oracle-Systeme für eine Vielzahl an Angreifern interessant sein können, wird diese Schwachstelle keine sonderlich grosse Beachtung finden. Vor allem in professionellen und sicherheitsrelevanten Umgebunden sollte trotzdem das Umsetzen möglicher Gegenmassnahmen nicht hinausgezögert werden.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 6.4

VulDB Base Score: 7.3
VulDB Temp Score: 6.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 51573
Nessus Name: Oracle Database Multiple Vulnerabilities (January 2011 CPU)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Patch: oracle.com

Timelineinfo

06.12.2010 🔍
18.01.2011 +43 Tage 🔍
18.01.2011 +0 Tage 🔍
18.01.2011 +0 Tage 🔍
18.01.2011 +0 Tage 🔍
19.01.2011 +1 Tage 🔍
19.01.2011 +0 Tage 🔍
19.01.2011 +0 Tage 🔍
21.01.2011 +2 Tage 🔍
14.02.2011 +23 Tage 🔍
18.03.2021 +3685 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: securityfocus.com⛔
Person: Sumit Siddharth (BSDaemon)
Firma: Oracle
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2010-4420 (🔍)
GCVE (CVE): GCVE-0-2010-4420
GCVE (VulDB): GCVE-100-4247
X-Force: 64760 - Oracle Database Database Vault unspecified, Medium Risk
SecurityFocus: 45855 - Oracle Database Server Database Vault Local Information Disclosure Vulnerability
Secunia: 42895 - Oracle Database Multiple Vulnerabilities, Highly Critical
OSVDB: 70555 - Oracle Database Server Database Vault Unspecified Local Issue (2010-4420)
SecurityTracker: 1024972 - Oracle Database Bugs Let Remote Users Partially Obtain and Modify Data and Cause Partial Denial of Service Conditions
Vulnerability Center: 29225 - [cpujan2011-194091] Oracle10g and Oracle11g Database Vault component Local Unspecified Vulnerability, Low
Vupen: ADV-2011-0139

Siehe auch: 🔍

Eintraginfo

Erstellt: 14.02.2011 10:49
Aktualisierung: 18.03.2021 16:31
Anpassungen: 14.02.2011 10:49 (82), 07.04.2017 17:03 (12), 18.03.2021 16:31 (2)
Komplett: 🔍
Cache ID: 216:077:103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Might our Artificial Intelligence support you?

Check our Alexa App!