Oracle Database Server 9.2.0.8 ctxsys.drvxtabc.create_tables SQL Injection

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.2$0-$5k0.00

Zusammenfassunginfo

Eine kritische Schwachstelle wurde in Oracle Database Server 9.2.0.8 entdeckt. Hierbei geht es um eine nicht exakt ausgemachte Funktion der Datei ctxsys.drvxtabc.create_tables. Durch Manipulation mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2009-1991 gelistet. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es existiert kein Exploit.

Detailsinfo

In Oracle Database Server 9.2.0.8 (Database Software) wurde eine Schwachstelle gefunden. Sie wurde als kritisch eingestuft. Betroffen ist eine unbekannte Verarbeitung der Datei ctxsys.drvxtabc.create_tables. Dank Manipulation mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-89. Auswirkungen hat dies auf Vertraulichkeit und Integrität. Die Zusammenfassung von CVE lautet:

Unspecified vulnerability in the Oracle Text component in Oracle Database 9.2.0.8, 9.2.0.8DV, 10.1.0.5, and 10.2.0.4 allows remote authenticated users to affect confidentiality and integrity, related to CTXSYS.DRVXTABC. NOTE: the previous information was obtained from the October 2009 CPU. Oracle has not commented on claims from an established researcher that this is for multiple SQL injection vulnerabilities via the (1) idx_owner or (2) idx_name parameters to the create_tables procedure.

Die Schwachstelle wurde am 21.10.2009 (Website) öffentlich gemacht. Bereitgestellt wird das Advisory unter us-cert.gov. Die Verwundbarkeit wird als CVE-2009-1991 geführt. Sie gilt als schwierig ausnutzbar. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1505 aus.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 56066 (Oracle Database, October 2009 Critical Patch Update) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Databases zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 19575 (Oracle Database October 2009 Patch Set Update (PSU) 10.2.0.4.2 Not Installed (Patch 8833280)) zur Prüfung der Schwachstelle an.

Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Es wurde demnach vorab gehandelt. Weiterführend können Angriffe durch TippingPoint mittels dem Filter 9410 erkannt werden.

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (56066), SecurityFocus (BID 36748†), OSVDB (59113†), SecurityTracker (ID 1023057†) und Vulnerability Center (SBV-23835†) dokumentiert. Die Einträge VDB-50583, VDB-50582, VDB-50581 und VDB-50580 sind sehr ähnlich. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.2
VulDB Meta Temp Score: 4.2

VulDB Base Score: 4.2
VulDB Temp Score: 4.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 56066
Nessus Name: Oracle Database, October 2009 Critical Patch Update
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍
Suricata ID: 2010375
Suricata Klasse: 🔍
Suricata Message: 🔍

TippingPoint: 🔍
PaloAlto IPS: 🔍
Fortigate IPS: 🔍

Timelineinfo

08.06.2009 🔍
20.10.2009 +134 Tage 🔍
21.10.2009 +1 Tage 🔍
21.10.2009 +0 Tage 🔍
21.10.2009 +0 Tage 🔍
21.10.2009 +0 Tage 🔍
22.10.2009 +0 Tage 🔍
18.03.2015 +1973 Tage 🔍
27.07.2024 +3419 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: us-cert.gov
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2009-1991 (🔍)
GCVE (CVE): GCVE-0-2009-1991
GCVE (VulDB): GCVE-100-50557
SecurityFocus: 36748
OSVDB: 59113 - Oracle Database Text ctxsys.drvxtabc.create_tables Multiple Parameter SQL Injection
SecurityTracker: 1023057
Vulnerability Center: 23835 - [cpuoct2009-096303] Oracle Database Oracle Text CTXSYS.DRVXTABC [Critical Patch Update - October 2009] Vulnerability, Low

Siehe auch: 🔍

Eintraginfo

Erstellt: 18.03.2015 15:15
Aktualisierung: 27.07.2024 11:16
Anpassungen: 18.03.2015 15:15 (42), 07.04.2017 17:05 (22), 24.08.2021 12:46 (2), 24.08.2021 12:52 (7), 24.08.2021 13:00 (1), 27.07.2024 11:16 (16)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!