Het Nationaal Cyber Security Centrum (NCSC) heeft op de datum van vandaag een nieuw beveiligingsadvies uitgebracht met versie 1.00, geïdentificeerd als NCSC-2024-0411. Dit advies beoordeelt de ernst van de beveiligingskwesties als zijnde medium tot hoog.

Kwetsbaarheden en Impact

Het advies behandelt verschillende kwetsbaarheden in Oracle-databaseproducten en -subsystemen, waaronder de core database, Application Express, Autonomous Health Framework, Essbase, GoldenGate, SQL Developer, en Secure Backup. Deze kwetsbaarheden kunnen door kwaadwillenden worden misbruikt om aanvallen uit te voeren die resulteren in:

• Denial-of-Service (DoS): Het systeem wordt onbruikbaar gemaakt voor legitiem gebruik.
• Manipulatie van Data: Gegevens kunnen worden gewijzigd of gewist.
• Ongeautoriseerde Toegang tot Gevoelige Gegevens: Er is toegang mogelijk tot informatie die anders privé of vertrouwelijk zou moeten zijn.

Technische Kenmerken van de Kwetsbaarheden

Enkele van de meest kritieke problemen omvatten:

• Onjuiste beperking van operaties binnen de grenzen van een geheugenbuffer.
• Foute toewijzing van permissies voor kritieke bronnen.
• Onjuiste validatie van certificaten en ontbrekende stappen in authenticatieprocessen.
• Gebrek aan limieten bij het toewijzen van hulpbronnen, wat leidt tot ongecontroleerd gebruik en blootstelling van gevoelige informatie.
• Andere problemen variëren van buffer overflows, autorisatieomzeilingen, en kwetsbaarheden in cryptografische algoritmen, tot fouten in resourcebeëindiging en gebeurtenisdetectie.

Voor een volledige lijst van kwetsbaarheden worden verwijzingen naar specifieke CWE-gegevens (gemeenschappelijke zwakke punten) zoals Improper Handling of Exception Conditions, Use After Free, en Command Injection genoemd.

Oplossingen

Oracle heeft updates uitgebracht om deze kwetsbaarheden te verhelpen. Organisaties worden sterk aangeraden deze patches z.s.m. te implementeren om de risico’s te reduceren. De updates en details erover kunnen worden gevonden in het beveiligingsbulletin van Oracle dat toegankelijk is via Oracle’s Security Alerts.

Bereik en Getroffen Platforms

De getroffen platforms en producten omvatten verschillende versies van Oracle Application Express, Oracle Autonomous Health Framework, GoldenGate, de nosql_database, en anderen, met specieke vermelding van versies zoals:

• 19.3 tot 21.15
• 23.4 en hoger

Voorbeel CVE’s

Enkele CVE’s verbonden aan deze kwetsbaarheden zijn:

• CVE-2022-1471
• CVE-2022-34169
• CVE-2024-33187

Conclusies

Dit advies wijst op de kritieke noodzaak voor organisaties die Oracle-producten gebruiken om snel te handelen door de gepubliceerde patches toe te passen. Updaten helpt bij het voorkomen van potentieel schadelijk misbruik door kwaadwillenden en beveiligt gevoelige gegevens tegen ongeoorloofde toegang. Het volledige advies kan verder worden onderzocht via de links naar downloadbare formaten zoals PGP, CSAF en PDF, beschikbaar op de NCSC-website.

Voor aanvullende vragen of ondersteuning bij deze kwetsbaarheden en het implementeren van de updates kunnen organisaties terecht bij hun Oracle-vertegenwoordiger of de IT-beveiligingsteams inschakelen.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----