Katalog podatności CVE

W Netty do wersji 4.1.135 i 4.2.15 występuje podatność w handlerze SpdyHttpDecoder. Nieprawidłowe zwalnianie pulowanego bufora ByteBuf prowadzi do wyczerpania pamięci natywnej.

Netty, framework aplikacji sieciowych, zawiera podatność w module codec-haproxy w klasie HAProxyMessageDecoder. Podczas odczytu 13. bajtu jako signed byte i rozszerzania go do int bez maskowania, wartość 0xFF jest interpretowana jako -1, co powoduje kolizję z sentinelą oznaczającą potrzebę więcej danych. Prowadzi to do niekontrolowanego gromadzenia danych w buforze cumulation, aż do wyczerpania pamięci bezpośredniej.

Dwa błędy w bibliotece libheif przed wersją 1.22.0 umożliwiają wyciek pamięci sterty jako widoczne wartości pikseli w zdekodowanych obrazach siatki. Atakujący przesyłający spreparowany plik AVIF/HEIC do serwerowego procesora obrazów (WordPress, Sharp/libvips, ImageMagick itp.) może odzyskać dane sterty, w tym wskaźniki funkcji bibliotecznych wystarczające do pokonania ASLR, z publicznie dostępnego wyjścia JPEG/PNG/WebP.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Libraries). Nieuwierzytelniony atakujący przez sieć może naruszyć integralność danych, uzyskując nieautoryzowany dostęp do tworzenia, usuwania lub modyfikacji krytycznych danych.

Podatność w Oracle Java SE (komponent: Scripting). Dotknięte wersje to Oracle Java SE: 8u491, 8u491-perf i 11.0.31. Trudna do wykorzystania luka umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów nieautoryzowany dostęp do krytycznych danych oraz ich modyfikację.

Podatność w komponencie Scripting Oracle Java SE umożliwia nieuwierzytelnionemu atakującemu zdalnie spowodowanie zawieszenia lub częstego powtarzalnego crashu (pełne DOS) Oracle Java SE. Atak jest łatwy do przeprowadzenia przez sieć z wykorzystaniem wielu protokołów.

Podatność w Oracle VM VirtualBox w wersji 7.2.12, w komponencie Core. Atakujący z niskimi uprawnieniami i dostępem lokalnym może łatwo przejąć VirtualBox. Podatność dotyczy tylko hostów z systemem Windows.

Podatność w Oracle VM VirtualBox w wersji 7.2.8. Wysokouprzywilejowany atakujący z lokalnym dostępem, wymagający interakcji innej osoby, może modyfikować krytyczne dane oraz spowodować całkowitą odmowę usługi (DOS) poprzez zawieszenie lub częste awarie. Atak może wpływać na inne produkty.

Podatność w Oracle VM VirtualBox w wersji 7.2.12, w komponencie Core. Atakujący z niskimi uprawnieniami i dostępem lokalnym może łatwo przejąć VirtualBox.

Podatność w komponencie RDBMS Oracle Database Server w wersjach 23.4.0-23.26.2. Nieuwierzytelniony atakujący z dostępem sieciowym przez Oracle Net może spowodować całkowitą odmowę usługi (DoS) oraz nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych.

Podatność w produkcie Oracle Access Manager Oracle Fusion Middleware (komponent: Authentication Engine). Dotknięta wersja to 14.1.2.1.0. Łatwo wykorzystywalna podatność pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na przejęcie kontroli nad Oracle Access Manager.

Podatność w Oracle Contracts Integration (produkt Oracle E-Business Suite, komponent: Internal Operations) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może przejąć kontrolę nad integracją kontraktów, wpływając także na inne produkty.

Podatność w Oracle Bills of Material (komponent: Bill Issues) pozwala atakującemu z niskimi uprawnieniami, mając dostęp sieciowy przez HTTP, na przejęcie systemu. Nie wymaga interakcji użytkownika.

Podatność w produkcie Oracle Document Management and Collaboration z rodziny Oracle E-Business Suite (komponent: Attachments). Dotyczy wersji 12.2.3-12.2.15. Atakujący z niskimi uprawnieniami i dostępem sieciowym przez HTTP może naruszyć poufność i integralność wszystkich danych.

Podatność w PeopleSoft Enterprise PeopleTools (komponent: OpenSearch Dashboards). Nieuwierzytelniony atakujący przez HTTP, po interakcji użytkownika, może uzyskać nieautoryzowany dostęp do krytycznych danych, wpływając na inne produkty.

Podatność w Oracle Product Hub (komponent Item Catalog) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może uzyskać nieautoryzowany dostęp do wszystkich danych oraz możliwość ich tworzenia, usuwania lub modyfikacji.

Podatność w produkcie Siebel CRM Cloud Applications (komponent Siebel Cloud Manager) pozwala nieuwierzytelnionemu atakującemu zdalnie przez HTTPS spowodować zawieszenie lub częsty crash (pełne DOS) aplikacji. Atak jest łatwy do przeprowadzenia.

Podatność w PeopleSoft Enterprise PeopleTools (komponent Process Scheduler) pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na modyfikację i odczyt krytycznych danych w innych produktach (scope change). Wymagana jest interakcja z użytkownikiem.

Podatność w produkcie PeopleSoft Enterprise PeopleTools (komponent: PIA Core Technology) w wersji 8.62. Nieuwierzytelniony atakujący z dostępem sieciowym przez HTTP może łatwo wykorzystać tę lukę, ale wymagana jest interakcja z użytkownikiem. Atak może wpływać na dodatkowe produkty (zmiana zakresu) i prowadzić do nieautoryzowanej aktualizacji, wstawiania lub usuwania danych, nieautoryzowanego odczytu oraz częściowej odmowy usługi.

Podatność w produkcie Oracle Product Workbench z pakietu Oracle E-Business Suite (komponent: Security). Dotyczy wersji 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może przejąć kontrolę nad aplikacją, co prowadzi do nieautoryzowanego tworzenia, usuwania lub modyfikacji krytycznych danych oraz dostępu do wszystkich danych aplikacji.