The 19c and 21c versions of Oracle Database Server installed on the remote host are affected by multiple vulnerabilities as referenced in the October 2022 CPU advisory.

  - Vulnerability in the Oracle Database - Machine Learning (Numpy) component of Oracle Database Server. The     supported version that is affected is 21c. Easily exploitable vulnerability allows low privileged attacker     having Create Session privilege with network access via Oracle Net to compromise Oracle Database - Machine     Learning (Numpy). (CVE-2021-41495)  

  - Vulnerability in the Spatial and Graph (jackson-databind) component of Oracle Database Server. Supported     versions that are affected are 19c and 21c. Easily exploitable vulnerability allows low privileged attacker     having Authenticated User privilege with network access via HTTP to compromise Spatial and     Graph (jackson-databind). Successful attacks of this vulnerability can result in unauthorized ability to     cause a hang or frequently repeatable crash (complete DOS) of Spatial and Graph (jackson-databind).
    (CVE-2020-36518)

  - Vulnerability in the Oracle Notification Server (PCRE2) component of Oracle Database Server. Supported     versions that are affected are 19c and 21c. Easily exploitable vulnerability allows low privileged     attacker having Subscriber privilege with network access via HTTP to compromise Oracle Notification     Server (PCRE2). Successful attacks of this vulnerability can result in unauthorized ability to cause     a hang or frequently repeatable crash (complete DOS) of Oracle Notification Server (PCRE2).
    Note: This vulnerability applies to Windows systems only. (CVE-2022-1587)

  - Vulnerability in the Oracle Database - Advanced Queuing component of Oracle Database Server. The supported     version that is affected is 19c. Easily exploitable vulnerability allows high privileged attacker having     DBA user privilege with network access via Oracle Net to compromise Oracle Database - Advanced Queuing.
    Successful attacks of this vulnerability can result in takeover of Oracle Database - Advanced Queuing.
    (CVE-2022-21596)

  - Vulnerability in the Oracle Database - Sharding component of Oracle Database Server. Supported versions     that are affected are 19c and 21c. Easily exploitable vulnerability allows high privileged attacker having     Local Logon privilege with network access via Local Logon to compromise Oracle Database - Sharding.
    Successful attacks of this vulnerability can result in takeover of Oracle Database - Sharding.
    (CVE-2022-21603)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Oracle データベースサーバーの 19c および 21c バージョンは、2022 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database Server の Oracle Database - 機械学習 (Numpy) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは 21c です。容易に悪用可能な脆弱性により、権限の低い攻撃者が、Oracle Net を介したネットワークアクセスにより Create Session 権限を取得し、Oracle Database - 機械学習 (Numpy) を侵害する可能性があります。(CVE-2021-41495)  

  - Oracle Database Server の Spatial および Graph (jackson-databind) コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、19c および 21c です。容易に悪用できる脆弱性により、認証ユーザー権限を持つ権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Spatial および Graph (jackson-databind) を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく Spatial および Graph (jackson-databind) をハングさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。
    (CVE-2020-36518)

  - Oracle Database Server の Oracle Notification Server (PCRE2) コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、19c および 21c です。容易に悪用可能な脆弱性により、HTTP 経由でネットワークにアクセスできるサブスクライバー権限を持つ権限の低い攻撃者が、Oracle Notification Server (PCRE2) を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Notification Server (PCRE2) をハングさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。
    注: この脆弱性は Windows システムにのみ適用されます。(CVE-2022-1587)

  - Oracle Database Server の Oracle Database - Advanced Queuing コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは 19c です。容易に悪用可能な脆弱性により、DBA ユーザー権限を持つ権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより、Oracle Database - Advanced Queuing を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Database - Advanced Queuing の乗っ取りが発生する可能性があります。
    (CVE-2022-21596)

  - Oracle Database Server の Oracle Database - Sharding コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、19c および 21c です。容易に悪用可能な脆弱性により、ローカルログオン権限を持つ権限の高い攻撃者が、ローカルログオンを介したネットワークアクセスにより、Oracle Database - Sharding を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Database - Sharding の乗っ取りが発生する可能性があります。
    (CVE-2022-21603)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的 Oracle Database Server 19c 和 21c 版本受到 2022 年 10 月 CPU 公告中提及的多個弱點影響。

  - Oracle Database Server 的 Oracle Database - Machine Learning (Numpy) 元件中存在的弱點。受影響的支援版本是 21c 版。利用此弱點的難度較低，擁有「建立工作階段」權限且可透過 Oracle Net 存取網路的低權限攻擊者可藉此入侵 Oracle Database - Machine Learning (Numpy)。(CVE-2021-41495)  

  - Oracle Database Server 的 Spatial and Graph (jackson-databind) 元件中存在的弱點。受影響的支援版本是 19c 和 21c。攻擊此弱點的難度較小，擁有「經驗證的使用者」權限並且經由 HTTP 存取網路的低權限攻擊者可以藉此入侵 Spatial and Graph (jackson-databind)。若攻擊成功，攻擊者未經授權即可造成 Spatial and Graph (jackson-databind) 懸置或經常重複性當機 (完全 DOS)。
    (CVE-2020-36518)

  - Oracle Database Server 的 Oracle Notification Server (PCRE2) 元件中存在的弱點。受影響的支援版本是 19c 和 21c。攻擊此弱點的難度較小，擁有「訂閱者」權限並且經由 HTTP 存取網路的低權限攻擊者可以藉此入侵 Oracle Notification Server (PCRE2)。若攻擊成功，攻擊者未經授權即可造成 Oracle Notification Server (PCRE2) 懸置或經常重複性當機 (完全 DOS)。
    注意：此弱點僅適用於 Windows 系統。(CVE-2022-1587)

  - Oracle Database Server 的 Oracle Database - Advanced Queuing 元件中存在的弱點。受影響的支援版本是 19c 版。攻擊此弱點的難度較小，擁有 DBA 使用者權限並且經由 Oracle Net 存取網路的高權限攻擊者可藉此入侵 Oracle Database - Advanced Queuing。
    若攻擊成功，攻擊者可以接管 Oracle Database - Advanced Queuing。
    (CVE-2022-21596)

  - Oracle Database Server 的 Oracle Database - Sharding 元件中存在的弱點。受影響的支援版本是 19c 和 21c。攻擊此弱點的難度較小，擁有本機登入權限並且經由本機登入存取網路的高權限攻擊者可藉此入侵 Oracle Database - Sharding。
    若攻擊成功，攻擊者可以接管 Oracle Database - Sharding。
    (CVE-2022-21603)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Oracle Database Server 19c 和 21c 版本受到 2022 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Database Server 的 Oracle Database -Machine Learning (Numpy) 组件中存在漏洞。受到影响的受支持版本是 21c。可轻松利用的漏洞允许具有创建会话权限和网络访问权限的低权限攻击者通过 Oracle Net 破坏 Oracle Database - Machine Learning (Numpy)。(CVE-2021-41495)  

  - Oracle Database Server 的 Spatial 和 Graph (jackson-databind) 组件中存在漏洞。受影响的支持版本是 19c 和 21c。可轻松利用的漏洞允许具有“经身份验证用户”权限的低权限攻击者通过 HTTP 进行网络访问，从而破坏 Spatial 和 Graph (jackson-databind)。成功攻击此漏洞可导致在未经授权的情况下使 Spatial 和 Graph (jackson-databind) 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2020-36518)

  - Oracle Database Server 的 Oracle Notification Server (PCRE2) 组件中存在漏洞。受影响的支持版本是 19c 和 21c。对于容易攻击的漏洞，拥有“订阅者”权限的低权限攻击者可以通过 HTTP 进行网络访问，从而破坏 Oracle Notification Server (PCRE2)。成功攻击此漏洞可导致在未经授权的情况下使 Oracle Notification Server (PCRE2) 挂起或频繁崩溃（完全 DOS）。
    注意：此漏洞仅影响 Windows 系统。(CVE-2022-1587)

  - Oracle Database Server 的 Oracle Database - Advanced Queuing 组件中存在漏洞。受影响的支持版本是 19c。可轻松利用的漏洞允许拥有“DBA 用户权限”的高权限攻击者通过 Oracle Net 进行网络访问，从而破坏 Oracle Database - Advanced Queuing。
    成功利用此漏洞进行攻击可导致接管 Oracle Database - Advanced Queuing。
    (CVE-2022-21596)

  - Oracle Database Server 的 Oracle Database - Sharding 组件中存在漏洞。受影响的支持版本是 19c 和 21c。可轻松利用的漏洞允许拥有“本地登录权限”的高权限攻击者通过本地登录进行网络访问，从而破坏 Oracle Database - Sharding。
    成功利用此漏洞进行攻击可导致接管 Oracle Database - Sharding。
    (CVE-2022-21603)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
166370	Oracle Database Server (Oct 2022 CPU)	Nessus	Databases	10/21/2022	10/24/2023	critical
166370	Oracle Database Server (2022 年 10 月 CPU)	Nessus	Databases	10/21/2022	10/24/2023	critical
166370	Oracle Database Server (2022 年 10 月 CPU)	Nessus	Databases	10/21/2022	10/24/2023	critical
166370	Oracle Database Server（2022 年 10 月 CPU）	Nessus	Databases	10/21/2022	10/24/2023	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical