Infrasightlabs
Oracle изпрати сериозно предупреждение до всички свои потребители незабавно да актуализира своите системи до най-новите издадени версии. Съществува уязвимост в сигурността в компонента Java VM на сървъра на базата данни на Oracle, който може да бъде използван за компрометиране и да предизвика пълноценно поглъщане на Java VM.
Според подробностите публикувано относно уязвимостта, наречена CVE-2018-3110 , недостатъкът засяга версии 11.2.0.4 и 12.2.0.1 на базата данни Oracle за Windows. Засяга версии 12.1.0.2 на устройства с Windows и Linux / Unix. Потребителите, които се оказват да използват тези версии, без да са приложили процесора от юли 2018 г., трябва незабавно да надстроят своите системи.
Уязвимостта се счита за лесно използваема, позволяваща на ниско привилегирован атакуващ да компрометира Java VM с разрешения за създаване на сесия и мрежов достъп чрез Oracle Net. Логично е, че тази лесно използваема и високорискова уязвимост е получила CVSSS 3.0 базов резултат от 9,9, тъй като Oracle се обръща към всички свои клиенти, за да поиска спешно от тях да надстроят своите системи. Уязвимостта влияе върху поверителността, целостта и наличността.
Потребителите трябва да отбележат, че актуализациите, пуснати от Oracle за тези уязвимости в засегнатите от него продукти, са ограничени само до тези версии на продукти, които са обхванати от Premier Support на фазите за разширена поддръжка на Политиката за доживотна поддръжка. Смята се също, че по-старите версии на въпросните продукти са потенциално уязвими към същия вид компромис на системата. Потребителите, които все още работят с по-стари версии на Oracle Database, също трябва незабавно да надстроят своите системи.
Според матрицата на риска, публикувана от Oracle за тази уязвимост, експлойтът не е възможен дистанционно без разрешение. Това е относително по-малко сложна атака и въздействието й върху поверителността, целостта и наличността е голямо. Векторът за атака за експлоата е Network и единственият необходим пакет или привилегия е Create Session.
