BiznetBiznet

By Deniz Çevik

Oracle WebLogic WebServis Bileşenleri Güvenlik Problemleri

CVE: CVE-2017-10063

CVSS: 4.8 CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L

Risk Seviyesi: ORTA

Ürün: Oracle WebLogic Web Servisleri

Etkilenen Sürümler: 10.3.6.0, 12.1.3.0, 12.2.1.1, 12.2.1.2

Yama Tarihi: 17 Temmuz 2017

Raporlayan: Deniz ÇEVİK

Problem Detayları: Oracle Weblogic üzerine bulunan web servis bileşenleri yetkisiz kullanıcıların yararlanabileceği çeşitli zafiyetlerden etkilenmektedir. Saldırganlar bu zafiyetleri kullanarak uygulama veya sunucu bütünlüğünü bozacak saldırılar düzenleyebilirler.

Çözüm/Öneri: Belirtilen problem Oracle tarafından Temmuz 2017 tarihinde duyurulan yama paketi ile giderilmiştir.

Referanslar:http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html

By Deniz Çevik

Adobe Connect RTMP Servisleri SSRF Güvenlik Açığı

CVE: CVE-2017-11291

Risk: KRİTİK

Ürün: Adobe Connect

Etkilenen Sürümler: 9.6.2 ve önceki sürümler

Yama Tarihi: 14 Kasım 2017

Raporlayan: Deniz ÇEVİK

Problem Detayları: Adobe Connect RTMP protokolü üzerinden SSRF saldırıları yapılabileceği tespit edilmiştir. SSRF (Server Side Request Forgery), zafiyeti barındıran sistemden harici sistemlere istek yollatılabilmesine imkan tanıyan bir problemdir. Söz konusu durum sayesinde saldırganlar bu sistem ile aynı ağda veya Internet üzerine bulunan diğer sistemlere, bu sistemin ip adresi ile herkese açık bir proxy gibi istek yollayabilmektedirler. Belirtilen problem yerel ağa erişim, kimlik gizleme, farklı sistemlere size ait bir sistem üzerinden saldırı düzenleme, port ve ağ taraması yapma gibi işlemler için rahatlıkla kötüye kullanılabilir.

Çözüm/Öneri: Belirtilen problemler Adobe Connect 9.7 sürümü ile giderilmiştir.

Referanslar: https://helpx.adobe.com/tr/security/products/connect/apsb17-35.html

By Deniz Çevik

Oracle WebCenter Cross Site Scripting (XSS) Güvenlik Açığı

CVE: CVE-2017-3625

CVSS: 8.2 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Risk: Kritik

Ürün: Oracle WebCenter

Etkilenen Sürümler: 11.1.1.7, 11.1.1.9, 12.2.1.0, 12.2.1.1 ve 12.2.1.2

Yama Tarihi: 18 Nisan 2017

Raporlayan: Deniz ÇEVİK

Problem Detayları: Oracle WebCenter uygulamasına aktarılan docname parametresi ile mevcut koruma atlatılarak XSS saldırısı düzenlenebilmektedir. XSS problemleri uygulamaya bağlanan kullanıcılara ait oturum bilgilerini çalmak, phising saldırıları gerçekleştirmek gibi amaçlar ile kötüye kullanılabilirler.

Çözüm/Öneri: Belirtilen problemler Oracle Nisan 2017 güncellemesi ile giderilmiştir.

Referanslar: http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618.html

By Deniz Çevik

Oracle Business Intelligence Path Traversal Güvenlik Zafiyeti

CVE: CVE-2016-3446
CVSS: 8.3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L
Risk Seviyesi: YÜKSEK
Ürün: Oracle Business Intelligence Enterprise Edition
Etkilenen Sürümler: Oracle Fusion Middleware 11.1.1.7.0, 11.1.1.9.0
Yama Tarihi: 19 Temmuz 2016

Problem Detayları: Oracle Bussiness Intelligence paketi ile gelen Analytics uygulamalarının dizin atlatma (Path Traversal) probleminden etkilendiği belirlenmiştir. Yetkisiz kullanıcılar bu problem nedeni ile önemli yapılandırma dosyalarının içeriklerine erişim yapabilmektedirler. /analytics/saw.dll uygulamasına yollanan özel hazırlanmış istekler ile belirtilen problemden yararlanılabilmektedir.

Çözüm/Öneri: Belirtilen problem Oracle tarafından Temmuz 2016 tarihinde duyurulan yama paketi ile giderilmiştir.

Referanslar:
http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html

By Deniz Çevik

Oracle Application Testing Suite SSRF Güvenlik Problemi

CVE: CVE-2017-3311
Ürün: Oracle Application Testing Suite
Etkilenen Sürümler: 12.5.0.3, 12.5.0.2, 12.4.0.2
CVSS: 5.3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Risk Seviyesi: ORTA
Raporlayan: Deniz ÇEVİK
Raporlama Tarihi: 10 Kasım 2016
Yama Tarihi: 17 Ocak 2017

Problem Detayları: Oracle ATS login uygulamasının SSRF probleminden etkilendiği tespit edilmiştir. SSRF (Server Side Request Forgery), zafiyeti barındıran sistemden harici sistemlere istek yollatılabilmesine imkan tanıyan bir problemdir. Söz konusu durum sayesinde saldırganlar bu sistem ile aynı ağda veya Internet üzerine bulunan diğer sistemlere, bu sistemin ip adresi ile herkese açık bir proxy gibi istek yollayabilmektedirler. Belirtilen problem yerel ağa erişim, kimlik gizleme, farklı sistemlere size ait bir sistem üzerinden saldırı düzenleme, port ve ağ taraması yapma gibi işlemler için rahatlıkla kötüye kullanılabilir.

Çözüm/Öneri: Belirtilen problem Oracle tarafından Ocak 2017 tarihinde duyurulan yama paketi ile giderilmiştir.

Referanslar:
http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html

1 2 3 4