The remote Oracle Database Server is missing the April 2019 Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities :

  - An authenticated local Portable Clusterware takeover     vulnerability exists in the Oracle RDBMS. An authenticated, local     attacker with the Grid Infrastructure User privilege with logon     to the infrastructure where Portable Clusterware executes can     exploit this to take over the Portable Clusterware component of     Oracle RDBMS, resulting in the disclosure or manipulation of     arbitrary data. (CVE-2019-2516) (CVE-2019-2619)

  - An authenticated remote database takeover vulnerability exists in     the Oracle RDBMS. An authenticated, remote attacker with the     DBFS_ROLE privilege can exploit this via the Oracle Net protocol     to take over the back-end database, resulting in the disclosure     or manipulation of arbitrary data. (CVE-2019-2517)

  - An authenticated remote Java VM takeover vulnerability exists in     the Oracle RDBMS. An authenticated, remote attacker with the     Create Session, Create Procedure privileges can exploit this to     take over the Java VM. (CVE-2019-2518)

  - An authenticated remote RDBMS DataPump takeover vulnerability     exists in the Oracle RDBMS. An authenticated, remote attacker     with the DBA role privilege can exploit this via the Oracle Net     protocol to take over the RDBMS DataPump component of Oracle     RDBMS. (CVE-2019-2571)

  - An unauthenticated remote information disclosure vulnerability     exists in the Oracle RDBMS. An unauthenticated, remote attacker     can exploit this via the Oracle Net protocol to obtain read     access to a unspecified subset of Core RDBMS accessible data.
    (CVE-2019-2582)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのOracle Database Serverに、2019年4月のCritical Patch Update（CPU）がありません。したがって、以下の複数の脆弱性による影響を受けます。

  -認証されたローカルPortable Clusterware乗っ取りの脆弱性がOracle RDBMSにあります。Portable Clusterwareが実行されているインフラストラクチャにログオンし、Grid Infrastructure User権限を持つ認証されたローカルの攻撃者が、これを悪用してOracle RDBMSのPortable Clusterwareコンポーネントを乗っ取り、任意のデータを漏洩または改ざんする可能性があります。（CVE-2019-2516）（CVE-2019-2619）

  - 認証されたリモートのデータベース乗っ取りの脆弱性がOracle RDBMSにあります。DBFS_ROLE権限を持つ認証されたリモートの攻撃者がOracle Netプロトコルを介してこれを悪用し、バックエンドデータベースを乗っ取り、任意のデータを漏洩または改ざんする可能性があります。（CVE-2019-2517）

  -認証されたリモートJava VM乗っ取りの脆弱性がOracle RDBMSにあります。Create Session権限、Create Procedure権限を持つ認証されたリモートの攻撃者が、これを悪用してJava VMを乗っ取る可能性があります。（CVE-2019-2518）

  -認証されたリモートRDBMS DataPump乗っ取りの脆弱性がOracle RDBMSにあります。DBAロール権限を持つ認証されたリモートの攻撃者が、Oracle Netプロトコルを介してこれを悪用し、Oracle RDBMSのRDBMS DataPumpコンポーネントを乗っ取る可能性があります。（CVE-2019-2571）

  -認証されていないリモート情報漏洩の脆弱性がOracle RDBMSにあります。認証されていないリモートの攻撃者が、Oracle Netプロトコルを介してこれを悪用し、Core RDBMSがアクセスできる詳細不明なサブセットのデータへの読み取りアクセスを取得する可能性があります。
    （CVE-2019-2582）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Oracle 資料庫伺服器缺少「2019 年 4 月重大修補程式更新 (CPU)」。因此，該應用程式受到多個弱點影響：

  - Oracle RDBMS 中有一個經驗證的本機 Portable Clusterware 接管弱點。具備 Grid Infrastructure User 權限者權限且可登入 Portable Clusterware 執行所在基礎結構的經驗證本機攻擊者可利用此弱點，接管 Oracle RDBMS 的 Portable Clusterware 元件，進而導致洩漏或操控任意資料。(CVE-2019-2516) (CVE-2019-2619)

  - Oracle RDBMS 中有一個經驗證的遠端資料庫接管弱點。具備 DBFS_ROLE 權限的經驗證遠端攻擊者可利用此弱點，透過 Oracle Net 通訊協定接管後端資料庫，進而導致洩漏或操控任意資料。(CVE-2019-2517)

  - Oracle RDBMS 中有一個經驗證的遠端 Java VM 接管弱點。具備「建立工作階段」、「建立程序」權限的經驗證遠端攻擊者可利用此弱點接管 Java VM。(CVE-2019-2518)

  - Oracle RDBMS 中有一個經驗證的遠端 RDBMS DataPump 接管弱點。具備 DBA 角色權限的經驗證遠端攻擊者可利用此弱點，透過 Oracle Net 通訊協定接管 Oracle RDBMS 的 RDBMS DataPump 元件。(CVE-2019-2571)

  - Oracle RDBMS 中有一個未經驗證的遠端資訊洩漏弱點。未經驗證的遠端攻擊者可加以惡意利用，透過 Oracle Net 通訊協定取得讀取 Core RDBMS 可存取資料不明子集的存取權限。
    (CVE-2019-2582)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Oracle 数据库服务器缺少 2019 年 4 月的关键修补程序更新 (CPU)。因此，该服务器受到多个漏洞的影响：

  - Oracle RDBMS 中存在一个在经过身份验证的情况下本地接管 Portable Clusterware 的漏洞。具备 Grid Infrastructure User 权限、可登录 Portable Clusterware 执行所在基础架构且经过身份验证的本地攻击者可利用此漏洞，接管 Oracle RDBMS 的 Portable Clusterware 组件，进而导致任意数据泄露或遭到操控。(CVE-2019-2516) (CVE-2019-2619)

  - Oracle RDBMS 中存在一个在经过身份验证的情况下远程接管数据库的漏洞。具备 DBFS_ROLE 权限且经过身份验证的远程攻击者可利用此漏洞，通过 Oracle Net 协议接管后端数据库，进而导致任意数据泄露或遭到操控。(CVE-2019-2517)

  - Oracle RDBMS 中存在一个在经过身份验证的情况下远程接管 Java VM 的漏洞。具备 Create Session、Create Procedure 权限且经过身份验证的远程攻击者可利用此漏洞接管 Java VM。(CVE-2019-2518)

  - Oracle RDBMS 中存在一个在经过身份验证的情况下远程接管 RDBMS DataPump 的漏洞。具备 DBA 角色权限且经过身份验证的远程攻击者可利用此漏洞，通过 Oracle Net 协议接管 Oracle RDBMS 的 RDBMS DataPump 组件。(CVE-2019-2571)

  - Oracle RDBMS 中存在一个在未经身份验证的情况下造成远程信息泄露的漏洞。未经身份验证的远程攻击者可利用此漏洞，通过 Oracle Net 协议获取读取 Core RDBMS 可访问数据不明子集的访问权限。
    (CVE-2019-2582)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
124155	Oracle Database Server Multiple Vulnerabilities (Apr 2019 CPU)	Nessus	Databases	2019/4/18	2022/10/21	critical
124155	Oracleデータベースサーバーの複数の脆弱性（2019年4月CPU）	Nessus	Databases	2019/4/18	2022/10/21	critical
124155	Oracle Database Server 多個弱點 (2019 年 4 月 CPU)	Nessus	Databases	2019/4/18	2022/10/21	critical
124155	Oracle Database Server 多个漏洞（2019 年 4 月 CPU）	Nessus	Databases	2019/4/18	2022/10/21	critical

偵測

搜尋 Plugin

critical

critical

critical

critical