Cảnh báo Bảo mật của Oracle – CVE-2017-10269
Mô tả
Cảnh báo bảo mật CVE-2017-10269 và bốn lỗ hổng khác ảnh hưởng đến phần mềm Jolt trong Oracle Tuxedo. Những lỗ hổng này có điểm số CVSS tối đa là 10.0 và có thể được khai thác qua mạng mà không cần có tên người dùng và mật khẩu hợp lệ.
Các lỗ hổng này cũng ảnh hưởng tới Oracle PeopleSoft do có sử dụng Oracle Tuxedo. Vì vậy khách hàng dùng PeopleSoft cần áp dụng các bản vá lỗi Tuxedo được tham chiếu dưới đây.
Do tính nghiêm trọng của các lỗ hổng này, Oracle khuyến cáo khách hàng áp dụng các bản cập nhật được cung cấp bởi Cảnh báo bảo mật này càng sớm càng tốt.
Sản phẩm và Phiên bản Hỗ trợ
Các bản vá được phát hành thông qua chương trình Thông báo Bảo mật chỉ được cung cấp cho các phiên bản sản phẩm nằm trong Chương trình Hỗ trợ Premier hoặc Extended. Chúng tôi khuyên khách hàng lên kế hoạch nâng cấp sản phẩm để khắc phục lỗi.
Các bản phát hành sản phẩm không thuộc Hỗ trợ Premier hoặc Extended không được kiểm tra về sự có mặt của các lỗ hổng được khắc phục bởi Cảnh báo Bảo mật này. Tuy nhiên, có thể các phiên bản trước của các bản phát hành bị ảnh hưởng cũng bị ảnh hưởng bởi những lỗ hổng này. Do đó, Oracle khuyến cáo khách hàng nâng cấp lên các phiên bản được hỗ trợ.
Sản phẩm trong Hỗ trợ Extended
Khách hàng phải có Hợp đồng dịch vụ Hỗ trợ Extended hợp lệ để tải các bản vá được phát hành thông qua chương trình Cảnh báo Bảo mật cho các sản phẩm trong Giai đoạn Hỗ trợ Extended.
Các sản phẩm và thành phần bị ảnh hưởng
Các lỗ hổng bảo mật được khắc phục trong Cảnh báo bảo mật này sẽ ảnh hưởng đến các sản phẩm được liệt kê dưới đây. Các bản vá lỗi cho các phiên bản được liệt kê được hiển thị trong cột “Patch Availability” tương ứng với cột “Affected Products and Versions”.
Danh sách các bản phát hành sản phẩm bị ảnh hưởng và các phiên bản được hỗ trợ Premier hoặc Extended của Oracle như sau:
| Affected Products and Versions | Patch Availability |
| Oracle Tuxedo, versions 11.1.1, 12.1.1, 12.1.3, 12.2.2 | Fusion Middleware |
Phụ lục – Oracle Fusion Middleware
Cảnh báo bảo mật này chứa 5 bản sửa lỗi mới cho Oracle Fusion Middleware. 4 trong số các lỗ hổng này có thể được khai thác từ xa mà không yêu cầu thông tin đăng nhập của người dùng.
Oracle Fusion Middleware Risk Matrix
| CVE# | Product | Component | Protocol | Remote Exploit without Auth.? | CVSS VERSION 3.0 RISK (see Risk Matrix Definitions) | Supported Versions Affected | Notes | ||||||||
| Base Score | Attack Vector | Attack Complex | Privs Req’d | User Interact | Scope | Confid- entiality | Inte- grity | Avail- ability | |||||||
| CVE-2017-10269 | Oracle Tuxedo | Core | Jolt | Yes | 10.0 | Network | Low | None | None | Changed | High | High | Low | 11.1.1, 12.1.1, 12.1.3, 12.2.2 | |
| CVE-2017-10272 | Oracle Tuxedo | Core | Jolt | No | 9.9 | Network | Low | Low | None | Changed | High | High | Low | 11.1.1, 12.1.1, 12.1.3, 12.2.2 | |
| CVE-2017-10267 | Oracle Tuxedo | Core | Jolt | Yes | 7.5 | Network | Low | None | None | Un- changed | High | None | None | 11.1.1, 12.1.1, 12.1.3, 12.2.2 | |
| CVE-2017-10278 | Oracle Tuxedo | Security | Jolt | Yes | 7.0 | Network | High | None | None | Un- changed | High | Low | Low | 11.1.1, 12.1.1, 12.1.3, 12.2.2 | |
| CVE-2017-10266 | Oracle Tuxedo | Core | Jolt | Yes | 5.3 | Network | Low | None | None | Un- changed | Low | None | None | 11.1.1, 12.1.1, 12.1.3, 12.2.2 | |
Tham khảo chi tiết tại trang Oracle.
