遠端主機上安裝的 Oracle Database Server 版本受到 2023 年 10 月 CPU 公告中提及的多個弱點影響。

  - Oracle Database Server 的 Oracle Spatial and Graph (cURL) 元件中存在的弱點。受影響的支援版本是 19.3-19.20 和 21.3-21.11。攻擊此弱點的難度較小，擁有「經驗證的使用者」權限並且經由 HTTP 存取網路的低權限攻擊者可以藉此入侵 Oracle Spatial and Graph (cURL)。若成功攻擊此弱點，可能未經授權即能夠導致 Oracle Spatial and Graph (cURL) 懸置或經常重複性當機 (完全 DOS)。
    (CVE-2023-38039)

  - Oracle Database Server 的 OML4Py (cryptography) 元件中存在弱點。受影響的支援版本是 21.3-21.11。攻擊此弱點的難度較大，經由 HTTP 存取網路的未經驗證的攻擊者可藉此入侵 OML4Py (cryptography)。成功攻擊此弱點可導致未經授權地建立、刪除或修改重要資料或所有可供存取之 OML4Py (cryptography) 資料的存取權。(CVE-2022-23491)

  - Oracle Database Server 的 PL/SQL 元件中存在弱點。受影響的支援版本是 19.3-19.20 和 21.3-21.11。這是較容易被利用的弱點，允許擁有「建立工作階段」和「執行 sys.utl_http」權限且可透過 Oracle Net 存取網路的高權限攻擊者入侵 PL/SQL。
    若要成功攻擊，必須有攻擊者以外之他人進行互動，且雖然此弱點位於 PL/SQL 中，但攻擊可能對其他產品造成重大影響 (範圍變更)。
    成功攻擊此弱點可能導致未經授權地更新、插入或刪除某些可供存取之 PL/SQL 伺服器資料的存取權，未授權讀取可供存取之 PL/SQL 伺服器資料子集的存取權，以及造成 PL/SQL 伺服器部分拒絕服務 (部分 DOS)。(CVE-2023-22071)

  - 針對不可惡意利用弱點的深度安全性更新 CVE-2020-25649、CVE-2020-36518、CVE-2021-34031、CVE-2022-4899、CVE-2022-42003、CVE-2022-42004、CVE-2022-46908、CVE-2023-2976 和 CVE-2023-35887。


請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Oracle Database Server 版本受到 2023 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Database Server 的 Oracle Spatial 和 Graph (cURL) 组件中存在漏洞。支持的版本中受影响的是 19.3-19.20 和 21.3-21.11。可轻松利用的漏洞允许具有“经身份验证用户”权限的低权限攻击者通过 HTTP 进行网络访问，从而破坏 Oracle Spatial 和 Graph (cURL)。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle Spatial 和 Graph (cURL) 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2023-38039)

  - Oracle Database Server 的 OML4Py (cryptography) 组件中存在漏洞。支持的版本中受影响的是 21.3-21.11。此漏洞较难攻击，其允许未经身份验证的攻击者通过 HTTPS 进行网络访问，从而破坏 OML4Py (cryptography)。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 OML4Py (cryptography) 可访问数据的访问权限。(CVE-2022-23491)

  - Oracle Database Server 的 PL/SQL 组件中存在漏洞。支持的版本中受影响的是 19.3-19.20 和 21.3-21.11。对于容易攻击的漏洞，拥有“创建会话”和“执行 sys.utl_http”权限的高权限攻击者可以通过 Oracle Net 进行网络访问，从而破坏 PL/SQL。
    若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 PL/SQL 中，但攻击可能对其他产品造成重大影响（范围更改）。
    成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 PL/SQL 可访问数据的访问权限，以及对 PL/SQL 可访问数据子集进行未授权的读取访问，并且可未经授权造成 PL/SQL 部分拒绝服务（部分 DOS）。(CVE-2023-22071)

  - 针对不可利用漏洞的安全深度更新 CVE-2020-25649、CVE-2020-36518、CVE-2021-34031、CVE-2022-4899、CVE-2022-42003、CVE-2022-42004、CVE-2022-46908、CVE-2023-2976 和 CVE-2023-35887。


请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている Oracle データベースサーバーのバージョンは、2023 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database Server の Oracle Spatial および Graph (cURL) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.20 および 21.3-21.11です。容易に悪用できる脆弱性により、認証ユーザー権限を持つ権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle Spatial および Graph (cURL) を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Spatial および Graph (cURL) をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。
    (CVE-2023-38039)

  - Oracle Database Server の OML4Py (cryptography) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、21.3-21.11 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、OML4Py (cryptography) を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや OML4Py (cryptography) がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2022-23491)

  - Oracle Database Server の PL/SQL コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.20 および 21.3-21.11です。容易に悪用可能な脆弱性により、権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより、Create Session や Execute on sys.utl_http 権限を取得し、PL/SQL を侵害する可能性があります。
    攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは PL/SQL ですが、攻撃が他の製品に大きな影響を与える可能性があります。(範囲変更)
    この脆弱性を利用した攻撃が成功すると、権限のない更新や一部の PL/SQL アクセス可能データの挿入または削除、PL/SQL アクセス可能データの一部に対する権限のない読み取りアクセス、および PL/SQL の部分的なサービス拒否 (部分的な DOS) を権限なしに引き起こす可能性があります。(CVE-2023-22071)

  - 悪用不可能な脆弱性に対する多層セキュリティの更新 CVE-2020-25649、CVE-2020-36518、CVE-2021-34031、CVE-2022-4899、CVE-2022-42003、CVE-2022-42004、CVE-2022-46908、CVE-2023-2976、CVE-2023-35887。


Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The versions of Oracle Database Server installed on the remote host are affected by multiple vulnerabilities as referenced in the October 2023 CPU advisory.

  - Vulnerability in the Oracle Spatial and Graph (cURL) component of Oracle Database Server. Supported     versions that are affected are 19.3-19.20 and 21.3-21.11. Easily exploitable vulnerability allows low     privileged attacker having Authenticated User privilege with network access via HTTP to compromise Oracle     Spatial and Graph (cURL). Successful attacks of this vulnerability can result in unauthorized ability to     cause a hang or frequently repeatable crash (complete DOS) of Oracle Spatial and Graph (cURL).
    (CVE-2023-38039)

  - Vulnerability in the OML4Py (cryptography) component of Oracle Database Server. Supported versions that     are affected are 21.3-21.11. Difficult to exploit vulnerability allows unauthenticated attacker with     network access via HTTP to compromise OML4Py (cryptography). Successful attacks of this vulnerability can     result in unauthorized creation, deletion or modification access to critical data or all     OML4Py (cryptography) accessible data. (CVE-2022-23491)

  - Vulnerability in the PL/SQL component of Oracle Database Server. Supported versions that are affected are     19.3-19.20 and 21.3-21.11. Easily exploitable vulnerability allows high privileged attacker having Create     Session, Execute on sys.utl_http privilege with network access via Oracle Net to compromise PL/SQL.
    Successful attacks require human interaction from a person other than the attacker and while the     vulnerability is in PL/SQL, attacks may significantly impact additional products (scope change).
    Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to     some of PL/SQL accessible data as well as unauthorized read access to a subset of PL/SQL accessible data     and unauthorized ability to cause a partial denial of service (partial DOS) of PL/SQL. (CVE-2023-22071)

  - Security-in-depth update for non-exploitable vulnerabilities CVE-2020-25649, CVE-2020-36518, CVE-2021-34031,     CVE-2022-4899, CVE-2022-42003, CVE-2022-42004, CVE-2022-46908, CVE-2023-2976 and CVE-2023-35887.


Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
183503	Oracle Database Server (2023 年 10 月 CPU)	Nessus	Databases	10/20/2023	2/24/2026	medium
183503	Oracle Database Server（2023 年 10 月 CPU）	Nessus	Databases	10/20/2023	2/24/2026	medium
183503	Oracle Database Server (2023 年 10 月 CPU)	Nessus	Databases	10/20/2023	2/24/2026	medium
183503	Oracle Database Server (October 2023 CPU)	Nessus	Databases	10/20/2023	2/24/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium