CVE-2020-2555: fallo crítico en Oracle Corporation Utilities Framework
Publicada el · Actualizada el
100Vexday Risk Score
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
ssvc Actcvss 9.8epss 97%
de la publicación al arma0 días
Publicada en NVD15 ene
1ª PoC15 ene
metasploit15 ene
CISA KEV+658d
probabilidad de explotación
97%top 1% de las CVE
explotación observada
síCISA + VulnCheck
17 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-05-03
Apply updates per vendor instructions.
En resumen
Oracle Coherence contiene una falla crítica que permite a atacantes tomar control total del sistema de forma remota, sin necesidad de autenticación. Un atacante puede enviar datos especialmente diseñados a través de la red para ejecutar código malicioso.
Detalle técnico
Vulnerabilidad de deserialización insegura (CWE-502) en el componente de caché de Oracle Coherence accesible a través del protocolo T3. Requiere solo acceso de red sin autenticación ni interacción del usuario; la explotación exitosa resulta en ejecución remota de código y compromiso completo del sistema en las versiones 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 y 12.2.1.4.0.
Resumen generado y traducido por IA a partir de la descripción oficial.
Vulnerability in the Oracle Coherence product of Oracle Fusion Middleware (component: Caching,CacheStore,Invocation). Supported versions that are affected are 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle Coherence. Successful attacks of this vulnerability can result in takeover of Oracle Coherence. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).