Informatie over Kwetsbaarheden in Oracle Fusion Middleware

Oracle heeft recentelijk meerdere kwetsbaarheden verholpen binnen de Fusion Middleware familie, inclusief applicaties als WebLogic Server, WebCenter en HTTP Server. Deze kwetsbaarheden maakten het voor kwaadwillenden mogelijk om verschillende soorten aanvallen uit te voeren, waaronder Denial-of-Service (DoS), manipulatie van data, ongeautoriseerde toegang en uitvoering van willekeurige code met administratorrechten.

Kenmerken van de Kwetsbaarheden

De kwetsbaarheden vertonen een breed scala aan beveiligingsproblemen, waaronder:

• Onbeperkte toewijzing van middelen (Allocation of Resources Without Limits or Throttling)
• Blootstelling van gevoelige informatie (Exposure of Sensitive Information to an Unauthorized Actor)
• Ongecontroleerde wijziging van objectprototypen (Improperly Controlled Modification of Object Prototype Attributes)
• Code-injectie (Improper Control of Generation of Code)
• Ongecontroleerde geheugenallocatie (Use After Free)
• Server-Side Request Forgery (SSRF)
• Onjuiste invoervalidatie (Improper Input Validation)

Deze kenmerken maken de systemen kwetsbaar voor ernstige inbreuken die de systeembeschikbaarheid, integriteit en vertrouwelijkheid kunnen compromitteren.

Beschikbare Oplossingen

Oracle heeft patches en updates uitgebracht om deze kwetsbaarheden aan te pakken. De aanbevolen actie voor organisaties is om de nieuwste updates zo snel mogelijk te installeren. Verdere informatie en details over de specifieke updates zijn beschikbaar via de release-informatie van Oracle hier.

Getroffen Platforms en Versies

Het bereik van deze kwetsbaarheden is uitgebreid en omvat diverse Oracle producten zoals:

• Oracle WebLogic Server
• Oracle WebCenter Content
• Oracle Data Integrator
• Oracle Middleware Common Libraries
• Oracle HTTP Server
  Deze zijn van toepassing op meerdere versies, inclusief maar niet beperkt tot 8.5.5, 12.2.1.4.0, en 14.1.1.0.0.

CVE’s en Verdere Documentatie

Verschillende Common Vulnerabilities and Exposures (CVE’s) zijn geïdentificeerd, waaronder CVE-2020-11023, CVE-2023-4759, en CVE-2024-21190. Voor een gedetailleerde lijst en beschrijving van alle CVE’s kunt u de officiële CVE database raadplegen.

Deze informatie is verstrekt door het Nationaal Cyber Security Centrum (NCSC). Hoewel er grote zorg is besteed aan de nauwkeurigheid en volledigheid van dit advies, garandeert het NCSC niet dat de informatie te allen tijde helemaal compleet en actueel is. Het NCSC en de Staat accepteren geen aansprakelijkheid voor eventuele schade die voortvloeit uit het gebruik of de onmogelijkheid van het gebruik van dit advies. Het gebruik van deze informatie is onderhevig aan de Nederlandse wetgeving en alle geschillen worden voorgelegd aan de bevoegde rechter te Den Haag.

Door de bovenstaande informatie tijdig toe te passen, kunnen organisaties hun systemen aanzienlijk beter beschermen tegen potentiële beveiligingsrisico’s. Het is cruciaal dat IT-beheerders en beveiligingsteams proactief handelen om deze updates te implementeren en hun infrastructuur te beveiligen.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----