The remote Oracle Database Server is missing the July 2017 Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities :

  - A man-in-the-middle (MitM) information disclosure     vulnerability, known as POODLE, exists due to the way     SSL 3.0 handles padding bytes when decrypting messages     encrypted using block ciphers in cipher block chaining     (CBC) mode. A MitM attacker can decrypt a selected byte     of a cipher text in as few as 256 tries if they are able     to force a victim application to repeatedly send the     same data over newly created SSL 3.0 connections.
    (CVE-2014-3566)

  - A vulnerability exists, known as SWEET32, in the 3DES     and Blowfish algorithms due to the use of weak 64-bit     block ciphers by default. A man-in-the-middle attacker     who has sufficient resources can exploit this     vulnerability, via a 'birthday' attack, to detect a     collision that leaks the XOR between the fixed secret     and a known plaintext, allowing the disclosure of the     secret text, such as secure HTTPS cookies, and possibly     resulting in the hijacking of an authenticated session.
    (CVE-2016-2183)

 -  An unspecified vulnerability exists in the RDBMS     Security component that allows a local attacker to     impact integrity. Note that the attacker would need to     have Create Session or Select Any Dictionary privileges.
    (CVE-2017-10120)

  - An unspecified vulnerability exists in the OJVM     component that allows an authenticated, remote attacker     to impact confidentiality, integrity, and availability.
    Note that the attacker would need to have Create     Session or Create Procedure privileges. (CVE-2017-10202)

リモートの Oracle データベースサーバーには、2017 年 7 月の Critical Patch Update（CPU）がありません。したがって、以下の脆弱性の影響を受けます。- 暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージを復号するとき、SSL 3.0がパディングバイトを処理するため、中間者（MitM）情報漏えいの脆弱性（別称POODLE）がありします。被害を受けるアプリケーションに新たに作成した SSL 3.0 接続を通じて同じデータを繰り返し送信させることができる場合、MitM 攻撃者は、暗号テキスト内の選択したバイトをわずか 256 回の試行で復号できます。（CVE-2014-3566）- 脆弱な64ビットのブロック暗号をデフォルトで使用しているため、SWEET32として知られる脆弱性が3DESとBlowfishのアルゴリズムにあります。十分なリソースを持つ中間にいる攻撃者が、「誕生日」攻撃を通じて、この脆弱性を悪用し、固定された秘密情報と既知の平文の間でXORを漏えいする衝突を検出します。これにより、安全なHTTPSクッキーなどの秘密のテキストが漏えいし、認証されたセッションの乗っ取りが引き起こされる可能性があります。（CVE-2016-2183）- RDBMSセキュリティコンポーネントに詳細不明な脆弱性が存在し、ローカルの攻撃者が整合性に影響を及ぼす可能性があります。攻撃者にはセッション制作権限、または辞書を選択する権限が必要であることを留意してください。（CVE-2017-10120）- OJVMコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性、整合性、可用性に影響を与える可能性があります。攻撃者にはセッション作成軽減、またはプロシージャ作成軽減が必要であることを留意してください。（CVE-2017-10202）

遠端 Oracle 資料庫伺服器缺少「2017 年 7 月重大修補程式更新 (CPU)」。因此，該應用程式受到多個弱點影響：

  - 攔截式 (MitM) 資訊洩漏弱點 (又稱 POODLE) 是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
    (CVE-2014-3566)

  - 因此，3DES 和 Blowfish 演算法中存在稱為 SWEET32 的弱點，這是預設使用弱式 64 位元區塊加密所致。具有足夠資源的攔截式攻擊者可透過「birthday」攻擊加以惡意利用，以偵測會在固定密碼與已知純文字之間洩漏 XOR 的衝突，從而允許洩漏密碼文字 (如安全 HTTPS Cookie)，並可能導致劫持經驗證的工作階段。
    (CVE-2016-2183)

 - RDBMS Security 元件中存在一個不明弱點，本機攻擊者可藉以影響完整性。請注意，攻擊者必須具備建立工作階段 (Create Session) 或任選目錄 (Select Any Dictionary) 權限。
    (CVE-2017-10120)

  - OJVM 元件中存在一個不明弱點，經驗證的遠端攻擊者可藉以影響機密性、完整性和可用性。
    請注意，攻擊者必須具備建立工作階段 (Create Session) 或建立程序 (Create Procedure) 權限。(CVE-2017-10202)

远程 Oracle 数据库服务器缺少 2017 年 7 月的关键修补程序更新 (CPU)。因此，该服务器受到多个漏洞的影响：

  - 对使用密码分组链接 (CBC) 模式下的分组密码进行加密的消息进行解密时，在 SSL 3.0 处理填充字节的方式中导致中间人 (MitM) 信息泄露漏洞（即 POODLE）。如果 MitM 攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断发送同样的数据，就能将选中的加密文本字节在 256 次内解密。
    (CVE-2014-3566)

  - 3DES 和 Blowfish 算法中存在漏洞（称为 SWEET32），这是默认使用弱 64 位块密码所致。具有足够资源的中间人攻击者可利用此漏洞，通过 'birthday' 攻击检测会在固定密码与已知纯文本之间泄露 XOR 的冲突，进而泄露密码文本（例如安全 HTTPS Cookie），并可能导致劫持经身份验证的会话。
    (CVE-2016-2183)

 - RDBMS Security 组件中存在一个不明漏洞，本地攻击者可利用此漏洞， 影响完整性。请注意，攻击者需要拥有 Create Session 或 Select Any Dictionary 权限。
    (CVE-2017-10120)

  - OJVM 组件中存在一个不明漏洞，经过身份验证的远程攻击者可利用此漏洞，影响机密性、完整性和可用性。
    请注意，攻击者需要具有“创建会话”或“创建程序”特权。(CVE-2017-10202)

ID	名稱	產品	系列	已發布	已更新	嚴重性
101836	Oracle Database Multiple Vulnerabilities (July 2017 CPU) (POODLE) (SWEET32)	Nessus	Databases	2017/7/20	2022/4/11	critical
101836	Oracle データベースの複数の脆弱性（2017年7月 CPU） (POODLE) (SWEET32)	Nessus	Databases	2017/7/20	2022/4/11	critical
101836	Oracle Database 多個弱點 (2017 年 7 月 CPU) (POODLE) (SWEET32)	Nessus	Databases	2017/7/20	2022/4/11	critical
101836	Oracle 数据库多个漏洞（2017 年 7 月 CPU）(POODLE) (SWEET32)	Nessus	Databases	2017/7/20	2022/4/11	critical

偵測

搜尋 Plugin

critical

critical

critical

critical