CERT-FI haavoittuvuustiedote 024/2010

Oracle WebLogic Server Node Manager -ohjelmiston haavoittuvuus

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen - palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Oracle WebLogic Server -ohjelmiston Node Manager -komponentissa on haavoittuvuus, josta Oracle antaa vain niukasti tietoja. Oraclen mukaan haavoittuvuutta voi käyttää hyväksi verkon kautta ilman autentikoitumista ja se vaikuttaa kohdejärjestelmän käytettävyyteen, eheyteen ja luottamuksellisuuteen. Oracle on julkaissut ohjelmistoon haavoittuvuuden korjaavan päivityksen.

HAAVOITTUVAT OHJELMISTOT:

• Oracle WebLogic Server 11gR1 (10.3.1 ja 10.3.2)
• Oracle WebLogic Server 10gR3 (10.3.0)
• Oracle WebLogic Server 10.0 MP2 asti
• Oracle WebLogic Server 9.0, 9.1, 9.2 MP3 asti
• Oracle WebLogic Server 8.1 SP6 asti
• Oracle WebLogic Server 7.0 SP7 asti

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä ohjelmisto korjattuun versioon valmistajan ohjeiden mukaisesti.

LISÄTIETOA:

• http://www.oracle.com/technology/deploy/security/alerts/alert-cve-2010-0073.html
• https://support.oracle.com/CSP/main/article?cmd=show&type=NOT&id=1058764.1 (vaatii kirjautumisen)
• CVE-2010-0073

PÄIVITYSHISTORIA:

8.2.2010, kello 11.10: Julkaistu

Sivua päivitetty 08.02.2010

Tulostusversio