CVE-2021-2351
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Advanced Networking Option serwera Oracle Database. Dotyczy wersji 12.1.0.2, 12.2.0.1 i 19c. Trudna do wykorzystania, pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez Oracle Net na naruszenie Advanced Networking Option. Udane ataki wymagają interakcji człowieka innego niż atakujący i mogą znacząco wpłynąć na inne produkty. Udany atak może skutkować przejęciem Advanced Networking Option. Uwaga: Łata krytyczna z lipca 2021 wprowadza zmiany w Native Network Encryption, aby zapobiec użyciu słabszych szyfrów. CVSS 3.1 Base Score 8.3.
Ocena ryzyka
Podatność może umożliwić atakującemu przejęcie komponentu Advanced Networking Option, co może prowadzić do naruszenia poufności, integralności i dostępności danych, a także wpłynąć na inne produkty.
Rekomendacja
Zastosuj poprawki z Critical Patch Update z lipca 2021 i zapoznaj się z dokumentacją 'Changes in Native Network Encryption with the July 2021 Critical Patch Update' (Doc ID 2791571.1).
Inne podatności w Oracle Database Server
Zobacz wszystkie- CVE-2026-71064Krytyczne
Podatność w komponencie Portable Clusterware serwera Oracle Database Server dotyczy wersji 19.3-19.32, 21.3-21.23 oraz 23.4.0-23.26.3. Atakujący bez uwierzytelnienia, mający dostęp do fizycznego segmentu komunikacyjnego, może przejąć kontrolę nad komponentem. Wynik CVSS to 9.6.
- CVE-2026-71063Krytyczne
Podatność w komponencie Portable Clusterware serwera Oracle Database Server dotyczy wersji 19.3-19.32, 21.3-21.23 oraz 23.4.0-23.26.3. Atakujący bez uwierzytelnienia, mający dostęp do fizycznego segmentu komunikacyjnego, może przejąć kontrolę nad komponentem. Wynik CVSS to 9.6.
- CVE-2026-61211Krytyczne
Podatność w komponencie RDBMS Oracle Database Server (wersje 19.3-19.31 i 23.4.0-23.26.2) pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez Oracle Net na przejęcie RDBMS. Atak ma wpływ na dodatkowe produkty (zmiana zakresu). CVSS 9.9.
- CVE-2026-46833Krytyczne
Podatność w komponencie Net Service Oracle Database Server w wersjach 23.4.0-23.26.2. Trudna do wykorzystania, pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TLS na przejęcie Net Service. Atak może wpływać na dodatkowe produkty (zmiana zakresu).
- CVE-2026-71100Średnie
Podatność w komponencie RDBMS serwera Oracle Database Server, dotyczy wersji 19.3-19.32, 21.3-21.23 i 23.4.0-23.26.3. Łatwa do wykorzystania przez nieuwierzytelnionego atakującego przez sieć (Oracle Net). Udany atak może pozwolić na nieautoryzowany odczyt podzbioru danych.
- CVE-2026-71062Wysokie
Podatność w komponencie RDBMS serwera Oracle Database Server dotyczy wersji 23.4.0-23.26.3. Atakujący z niskimi uprawnieniami (Authenticated User) może przez Oracle Net, przy trudnych warunkach, przejąć kontrolę nad systemem oraz wpłynąć na inne produkty.
- CVE-2026-60175Wysokie
Podatność w komponencie RDBMS Oracle Database Server pozwala atakującemu z niskimi uprawnieniami (Authenticated User), mając dostęp sieciowy przez Oracle Net, na przejęcie bazy danych. Nie wymaga interakcji użytkownika.
- CVE-2026-47061Średnie
Podatność w komponencie JDBC Oracle Database Server pozwala nieuwierzytelnionemu atakującemu z dostępem do segmentu komunikacyjnego na nieautoryzowany dostęp do krytycznych danych. Wymaga interakcji użytkownika.
- CVE-2026-47060Średnie
Podatność w komponencie JDBC Oracle Database Server (wersje 19.3-19.31, 21.3-21.22, 23.4.0-23.26.2). Nieuwierzytelniony atakujący przez Oracle Net, wymagająca interakcji użytkownika, może uzyskać nieautoryzowany dostęp do krytycznych danych (modyfikacja, usunięcie, utworzenie).
- CVE-2026-47046Wysokie
Podatność w komponencie RDBMS Oracle Database Server w wersjach 23.4.0-23.26.2. Nieuwierzytelniony atakujący z dostępem sieciowym przez Oracle Net może spowodować całkowitą odmowę usługi (DoS) oraz nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the Advanced Networking Option component of Oracle Database Server. Supported versions that are affected are 12.1.0.2, 12.2.0.1 and 19c. Difficult to exploit vulnerability allows unauthenticated attacker with network access via Oracle Net to compromise Advanced Networking Option. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Advanced Networking Option, attacks may significantly impact additional products. Successful attacks of this vulnerability can result in takeover of Advanced Networking Option. Note: The July 2021 Critical Patch Update introduces a number of Native Network Encryption changes to deal with vulnerability CVE-2021-2351 and prevent the use of weaker ciphers. Customers should review: "Changes in Native Network Encryption with the July 2021 Critical Patch Update" (Doc ID 2791571.1). CVSS 3.1 Base Score 8.3 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H).