Beveiligingsupdate: Kwetsbaarheden in Oracle Enterprise Manager

Overzicht

Oracle heeft verschillende kwetsbaarheden in zijn Enterprise Manager-software opgelost. Deze problemen kunnen worden geëxploiteerd door kwaadwillenden om aanzienlijke schade of verstoringen te veroorzaken. De kwetsbaarheden zijn samengevat in het beveiligingsadvies NCSC-2024-0415, en de Nederlandse Cyber Security Centrum (NCSC) heeft details hierover uitgebracht.

Beveiligingsproblemen

De volgende kwetsbaarheden zijn geïdentificeerd en opgelost:

1. Improper Certificate Validation: Onjuiste validatie van certificaten, wat kan leiden tot verkeerde toewijzing van vertrouwdheid.
2. Insertion of Sensitive Information into Log File: Het opnemen van gevoelige informatie in logbestanden, wat potentiële datalekken kan veroorzaken.
3. Uncontrolled Search Path Element: Ongecontroleerde zoekpadelementen kunnen leiden tot ongewenste toegang of uitvoering van schadelijke code.
4. Reliance on Component That is Not Updateable: Vertrouwen op componenten die niet kunnen worden bijgewerkt, waardoor beveiligingslekken ontstaan.
5. Uncontrolled Resource Consumption: Onbeperkt gebruik van systeembronnen, wat Denial-of-Service (DoS) aanvallen mogelijk maakt.
6. Insufficient Verification of Data Authenticity: Onvoldoende verificatie van de authenticiteit van gegevens, waardoor potentiële manipulatie mogelijk is.
7. Allocation of Resources Without Limits or Throttling: Toewijzing van middelen zonder adequate grenzen, wat kan leiden tot DoS-aanvallen.

Potentiële Impact

Als deze kwetsbaarheden worden uitgebuit, kunnen ze leiden tot:

• Denial-of-Service (DoS-aanvallen)
• Uitvoering van willekeurige code op zowel gebruikers- als administratorniveau
• Ongeautoriseerde toegang tot gevoelige gegevens

Beïnvloede Producten en Versies

De kwetsbaarheden hebben betrekking op verschillende producten en versies binnen de Oracle Enterprise Manager-suite, waaronder maar niet beperkt tot de volgende:

• Oracle Enterprise Manager
• Oracle Application Testing Suite
• Oracle Enterprise Asset Management
• Oracle Enterprise Data Quality

De getroffen versies variëren van 12.2.1.4.0 tot 13.5.1.1.0.

Oplossingen

Oracle heeft software-updates uitgebracht om deze kwetsbaarheden te verhelpen. Gebruikers wordt geadviseerd om hun systemen zo snel mogelijk bij te werken. Voor meer informatie over de updates en hoe deze te implementeren, verwijzen we naar de officiële Oracle Security Alert-pagina: Oracle Security Alerts.

Gerelateerde CVE’s

De volgende CVE’s zijn relevant voor deze kwetsbaarheden:

• CVE-2022-34381
• CVE-2023-28823
• CVE-2023-37920
• CVE-2023-44483
• CVE-2024-22201
• CVE-2024-26308
• CVE-2024-29025

Het NCSC stelt deze informatie beschikbaar onder voorbehoud van mogelijke fouten of onvolledigheden en aanvaardt geen aansprakelijkheid voor direct of indirecte schade voortvloeiend uit de toepassing van advies uit dit beveiligingsadvies. Geschillen worden exclusief behandeld door de bevoegde rechtbank in Den Haag, Nederland.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----