適用於 Unix 的 Oracle Database Server (2023 年 1 月 CPU)
high Nessus Plugin ID 170191
語系：
Synopsis
遠端主機受到多個弱點影響描述
遠端主機上安裝的 Oracle Database Server 版本受到 2023 年 1 月 CPU 公告中提及的多個弱點影響。- Oracle Database Server 的 Oracle Database - Machine Learning for Python (Python) 元件中存在的弱點。受影響的支援版本是 21c 版。利用此弱點的難度較低，擁有「資料庫使用者」權限且可透過 Oracle Net 存取網路的低權限攻擊者可藉此入侵 Oracle Database - Machine Learning for Python (Python)。若成功攻擊此弱點，攻擊者可在未經授權的情況下造成 Oracle Database - Machine Learning for Python (Python) 懸置或經常重複性當機 (完全 DOS)。(CVE-2021-3737)
- Oracle Database Server 的 Oracle Database - RDBMS Security 元件中存在的弱點。受影響的支援版本是 19c 和 21c。利用此弱點的難度較低，擁有「建立工作階段」權限且可透過 Oracle Net 存取網路的低權限攻擊者可藉此入侵 Oracle Database RDBMS Security。若要成功攻擊，必須有攻擊者以外之他人的互動。
若成功攻擊此弱點，攻擊者未經授權即可建立、刪除或修改重要資料或所有 Oracle Database RDBMS Security 可存取資料，並在未經授權的情況下讀取部分 Oracle Database RDBMS Security 可存取資料。(CVE-2023-21829)
- Oracle Database Server 的 Java VM 元件中存在弱點。受影響的支援版本是 19c 和 21c。利用此弱點的難度較低，具有「建立程序」權限且可透過 Oracle Net 存取網路的低權限攻擊者可藉此弱點入侵 Java VM。若成功攻擊此弱點，攻擊者未經授權即可造成 Java VM 部分拒絕服務 (部分 DOS)。(CVE-2022-39429)
- Oracle Database Server 的 Oracle Database Data Redaction 元件中存在的弱點。受影響的支援版本是 19c 和 21c。利用此弱點的難度較低，擁有「建立工作階段」權限且可透過 Oracle Net 存取網路的低權限攻擊者可藉此入侵 Oracle Database Data Redaction。若成功攻擊此弱點，攻擊者未經授權即可讀取部分 Oracle Database Data Redaction 可存取資料。(CVE-2023-21827)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
按照 2023 年 1 月 Oracle 重要修補程式更新公告，套用適當的修補程式。另請參閱
https://www.oracle.com/security-alerts/cpujan2023.html
https://www.oracle.com/docs/tech/security-alerts/cpujan2023cvrf.xml
Plugin 詳細資訊
嚴重性: High
ID: 170191
檔案名稱: oracle_rdbms_cpu_jan_2023.nasl
版本: 1.2
類型: local
代理程式: windows, macosx, unix
系列: Databases
已發布: 2023/1/20
已更新: 2023/1/20
組態: 啟用徹底檢查
支持的傳感器: Nessus Agent
風險資訊
CVSS 評分論據: Score from cve-2023-21829
VPR
風險因素: Critical
分數: 9.5
CVSS v2
風險因素: Medium
基本分數: 5.8
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: manual
CVSS v3
風險因素: High
基本分數: 7.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
弱點資訊
CPE: cpe:2.3:a:oracle:database_server:*:*:*:*:*:*:*:*
修補程式發佈日期: 2023/1/17
弱點發布日期: 2023/1/17
參考資訊
CVE: CVE-2020-10878, CVE-2021-29338, CVE-2021-37750, CVE-2021-3737, CVE-2018-25032, CVE-2022-1122, CVE-2020-10735, CVE-2022-42004, CVE-2022-42003, CVE-2022-3171, CVE-2022-42889, CVE-2022-21597, CVE-2022-45047, CVE-2022-39429, CVE-2023-21827, CVE-2023-21829
CEA-ID: CEA-2021-0004, CEA-2021-0025
IAVA: 2023-A-0035