Vulnerabilidades

Vulnerabilidad en el componente Oracle Database Materialized View de Oracle Database Server. Las versiones compatibles afectadas son 19.3-19.27, 21.3-21.18 y 23.4-23.8. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con privilegios elevados, con el privilegio "Ejecutar en DBMS_REDEFINITION" y acceso a la red a través de Oracle Net, comprometer Oracle Database Materialized View. Los ataques con éxito de esta vulnerabilidad pueden resultar en acceso no autorizado para actualizaciones, inserciones o eliminaciones de algunos datos accesibles de Oracle Database Materialized View. Puntuación base de CVSS 3.1: 2.7 (Afecta a la integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N).

Vulnerabilidad en Oracle Application Express (componente: Strategic Planner Starter App). Las versiones compatibles afectadas son la 24.2.4 y la 24.2.5. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con privilegios reducidos y acceso a la red a través de HTTP comprometer Oracle Application Express. Los ataques exitosos requieren la interacción humana de una persona distinta al atacante y, si bien la vulnerabilidad afecta a Oracle Application Express, pueden afectar significativamente a otros productos (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Application Express. Puntuación base de CVSS 3.1: 9.0 (impactos en confidencialidad, integridad y disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H).

Vulnerabilidad en el producto MySQL Cluster de Oracle MySQL (componente: Cluster: General). Las versiones compatibles afectadas son 8.0.0-8.0.42, 8.4.0-8.4.5 y 9.0.0-9.3.0. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con privilegios elevados, con acceso a la infraestructura donde se ejecuta MySQL Cluster, comprometer MySQL Cluster. Los ataques con éxito pueden resultar en la toma de control de MySQL Cluster. Puntuación base de CVSS 3.1: 6.7 (impactos en confidencialidad, integridad y disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H).

Vulnerabilidad en Oracle BI Publisher de Oracle Analytics (componente: Servidor Web). Las versiones compatibles afectadas son 7.6.0.0.0, 8.2.0.0.0 y 12.2.1.4.0. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con privilegios reducidos y acceso a la red a través de HTTP comprometer Oracle BI Publisher. Los ataques con éxito pueden resultar en la creación, eliminación o modificación no autorizada de datos críticos o de todos los datos accesibles de Oracle BI Publisher, así como en el acceso no autorizado a datos críticos o a todos los datos accesibles de Oracle BI Publisher. Puntuación base de CVSS 3.1: 8.1 (Afecta a la confidencialidad y la integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N).

Vulnerabilidad en el producto Primavera P6 Enterprise Project Portfolio Management de Oracle Construction and Engineering (componente: Web Access). Las versiones compatibles afectadas son 20.12.0-20.12.21, 21.12.0-21.12.21, 22.12.0-22.12.19, 23.12.0-23.12.13 y 24.12.0-24.12.4. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con pocos privilegios y acceso a la red a través de HTTP comprometer Primavera P6 Enterprise Project Portfolio Management. Los ataques exitosos requieren la interacción humana de una persona distinta al atacante y, si bien la vulnerabilidad afecta a Primavera P6 Enterprise Project Portfolio Management, los ataques pueden afectar significativamente a otros productos (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado a actualizaciones, inserciones o eliminaciones de algunos datos accesibles de Primavera P6 Enterprise Project Portfolio Management, así como acceso no autorizado a lecturas de un subconjunto de dichos datos. Puntuación base CVSS 3.1: 5,4 (Impactos en la confidencialidad y la integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N).

Vulnerabilidad en el producto PeopleSoft Enterprise HCM Global Payroll Core de Oracle PeopleSoft (componente: Global Payroll for Core). Las versiones compatibles afectadas son 9.2.51 y 9.2.52. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con privilegios reducidos y acceso a la red vía HTTP comprometer PeopleSoft Enterprise HCM Global Payroll Core. Los ataques con éxito pueden resultar en la creación, eliminación o modificación no autorizada de datos críticos o de todos los datos accesibles de PeopleSoft Enterprise HCM Global Payroll Core, así como en el acceso no autorizado a datos críticos o a todos los datos accesibles de PeopleSoft Enterprise HCM Global Payroll Core. Puntuación base de CVSS 3.1: 8.1 (Afecta a la confidencialidad y la integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N).

Vulnerabilidad en Oracle Java SE (componente: Instalación). Las versiones compatibles afectadas son Oracle Java SE: 8u451 y 8u451-perf. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con pocos privilegios, con acceso a la infraestructura donde se ejecuta Oracle Java SE, comprometer Oracle Java SE. Los ataques exitosos requieren la interacción humana de una persona distinta al atacante. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Java SE. Nota: Aplica al proceso de instalación en la implementación de cliente de Java. Puntuación base de CVSS 3.1: 7.3 (Afecta a la confidencialidad, integridad y disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H).

Vulnerabilidad en Oracle WebLogic Server de Oracle Fusion Middleware (componente: Core). Las versiones compatibles afectadas son 12.2.1.4.0, 14.1.1.0.0 y 14.1.2.0.0. Esta vulnerabilidad, fácilmente explotable, permite a un atacante con privilegios elevados y acceso a la red a través de HTTP comprometer Oracle WebLogic Server. Los ataques exitosos requieren la interacción humana de una persona distinta al atacante y, si bien la vulnerabilidad se encuentra en Oracle WebLogic Server, los ataques pueden afectar significativamente a otros productos (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en actualizaciones, inserciones o eliminaciones no autorizadas de algunos datos accesibles de Oracle WebLogic Server, así como en accesos de lectura no autorizados a un subconjunto de dichos datos. Puntuación base de CVSS 3.1: 4.8 (Afecta a la confidencialidad y la integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N).

Conjur proporciona gestión de secretos e identidad de aplicaciones para la infraestructura. La falta de validaciones en Secrets Manager, Self-Hosted, permite a atacantes autenticados inyectar recursos en la base de datos y eludir las comprobaciones de permisos. Este problema afecta a Secrets Manager, Self-Hosted (anteriormente Conjur Enterprise) en versiones anteriores a la 13.5.1 y 13.6.1, y a Conjur OSS en versiones anteriores a la 1.22.1. Conjur OSS en la versión 1.22.1 y Secrets Manager, Self-Hosted en las versiones 13.5.1 y 13.6.1 solucionan el problema.

Conjur proporciona gestión de secretos e identidad de aplicaciones para la infraestructura. Un atacante autenticado que pueda cargar la política puede usar el analizador YAML de políticas para referenciar archivos en el servidor alojado en Secrets Manager. Estas referencias pueden usarse como reconocimiento para comprender mejor la estructura de carpetas del servidor de Secrets Manager/Conjur o para que el analizador YAML incluya archivos del servidor en el YAML que se procesa al cargar la política. Este problema afecta a Secrets Manager, Self-Hosted (anteriormente Conjur Enterprise) en versiones anteriores a la 13.5.1 y 13.6.1, y a Conjur OSS en versiones anteriores a la 1.22.1. Conjur OSS en la versión 1.22.1 y Secrets Manager, Self-Hosted en las versiones 13.5.1 y 13.6.1 solucionan el problema.

Vulnerabilidad en Oracle Java SE, Oracle GraalVM para JDK y Oracle GraalVM Enterprise Edition de Oracle Java SE (componente: Redes). Las versiones compatibles afectadas son Oracle Java SE: 8u451-perf, 11.0.27, 17.0.15, 21.0.7 y 24.0.1; Oracle GraalVM para JDK: 17.0.15, 21.0.7 y 24.0.1; Oracle GraalVM Enterprise Edition: 21.3.14. Esta vulnerabilidad, fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de múltiples protocolos comprometer Oracle Java SE, Oracle GraalVM para JDK y Oracle GraalVM Enterprise Edition. Si bien la vulnerabilidad se encuentra en Oracle Java SE, Oracle GraalVM para JDK y Oracle GraalVM Enterprise Edition, los ataques podrían afectar significativamente a otros productos (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle Java SE, Oracle GraalVM for JDK y Oracle GraalVM Enterprise Edition. Nota: Esta vulnerabilidad se aplica a implementaciones de Java, generalmente en clientes que ejecutan aplicaciones Java Web Start o subprogramas Java en un entorno de pruebas, que cargan y ejecutan código no confiable (p. ej., código que proviene de internet) y dependen del entorno de pruebas de Java para su seguridad. Esta vulnerabilidad no se aplica a implementaciones de Java, generalmente en servidores, que cargan y ejecutan solo código confiable (p. ej., código instalado por un administrador). Puntuación base de CVSS 3.1: 8.6 (Afecta a la confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N).

Conjur proporciona gestión de secretos e identidad de aplicaciones para infraestructura. Las versiones 1.19.5 a 1.22.0 de Conjur OSS y las versiones 13.1 a 13.5 y 13.6 de Secrets Manager, Self-Hosted (anteriormente Conjur Enterprise) son vulnerables a la omisión del autenticador de IAM. Un atacante que manipule los encabezados firmados por AWS puede aprovechar una expresión regular malformada para redirigir la solicitud de validación de autenticación que Secrets Manager, Self-Hosted envía a AWS a un servidor malicioso controlado por el atacante. Esta redirección podría resultar en una omisión del autenticador de IAM de Secrets Manager, Self-Hosted, otorgando al atacante los permisos otorgados al cliente cuya solicitud fue manipulada. Este problema afecta tanto a Secrets Manager, Self-Hosted (anteriormente Conjur Enterprise) como a Conjur OSS. La versión 1.22.1 de Conjur OSS y las versiones 13.5.1 y 13.6.1 de Secrets Manager, Self-Hosted solucionan el problema.