Aviso de actualización de parches críticos de Oracle – Octubre de 2023
INTRODUCCIÓN
Oracle ha publicado un aviso que contiene 387 nuevos parches de seguridad para diferentes familias de productos. En este aviso cubriremos las vulnerabilidades críticas de los propios productos Oracle.
ANÁLISIS
CVE-2023-22019 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - 7.5:
Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de HTTP poner en peligro Oracle HTTP Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle HTTP Server.
CVE-2023-22069 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9.8:
Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de T3 o IIOP comprometer Oracle WebLogic Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle WebLogic Server.
CVE-2023-22072 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9.8:
Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de T3 o IIOP comprometer Oracle WebLogic Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle WebLogic Server.
CVE-2023-22086 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - 7.5:
Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de T3 o IIOP comprometer Oracle WebLogic Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle WebLogic Server.
CVE-2023-22089 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9.8:
Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de T3 o IIOP comprometer Oracle WebLogic Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle WebLogic Server.
CVE-2023-22085 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - 8.8:
Una vulnerabilidad fácilmente explotable permite a un atacante con pocos privilegios y acceso a la red a través de HTTP comprometer los Servicios de Propiedad de Hospitality OPERA 5. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Hospitality OPERA 5 Property Services.
CVE-2023-22087 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - 8.8:
Una vulnerabilidad fácilmente explotable permite a un atacante con pocos privilegios y acceso a la red a través de HTTP comprometer los Servicios de Propiedad de Hospitality OPERA 5. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Hospitality OPERA 5 Property Services.
CVE-2023-22101 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H - 8.1:
Una vulnerabilidad de difícil explotación permite a un atacante no autenticado con acceso a la red a través de T3 o IIOP comprometer Oracle WebLogic Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle WebLogic Server.
CVE-2023-22102 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H - 8.3:
Una vulnerabilidad de difícil explotación permite a un atacante no autenticado con acceso a la red a través de múltiples protocolos comprometer los Conectores MySQL. Los ataques exitosos requieren la interacción humana de una persona que no sea el atacante y mientras que la vulnerabilidad se encuentra en MySQL Connectors, los ataques pueden afectar significativamente a productos adicionales (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de los Conectores MySQL.
CVE-2023-22108 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - 7.5:
Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de T3 o IIOP comprometer Oracle WebLogic Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle WebLogic Server.
VERSIONES AFECTADAS
- Oracle Fusion Middleware - Oracle HTTP Server versión 12.2.1.4.0
- Oracle Fusion Middleware - Oracle WebLogic Server versiones 12.2.1.4.0, 14.1.1.0.0 y 12.2.1.3.0
- Oracle Hospitality Applications - Hospitality OPERA 5 Property Services versión 5.6
- Oracle MySQL - Conectores MySQL versiones 8.1.0 y anteriores
Para ver el resto de productos afectados, consulte el siguiente enlace: https://www.oracle.com/security-alerts/cpuoct2023.html
RECOMENDACIONES
Actualice según las instrucciones especificadas por Oracle para cada uno de sus productos.
REFERENCIAS
https://www.oracle.com/security-alerts/cpuoct2023.html
https://nvd.nist.gov/vuln/detail/CVE-2023-22019
https://nvd.nist.gov/vuln/detail/CVE-2023-22069
https://nvd.nist.gov/vuln/detail/CVE-2023-22072
https://nvd.nist.gov/vuln/detail/CVE-2023-22086
https://nvd.nist.gov/vuln/detail/CVE-2023-22089
https://nvd.nist.gov/vuln/detail/CVE-2023-22085
https://nvd.nist.gov/vuln/detail/CVE-2023-22087
https://nvd.nist.gov/vuln/detail/CVE-2023-22101
https://nvd.nist.gov/vuln/detail/CVE-2023-22102