CVE-2012-3152
CVE-2012-3152
Em resumo
Uma falha no Oracle Reports Developer permite que atacantes remotos leiam e façam upload de arquivos arbitrários sem autenticação, colocando em risco dados confidenciais e possibilitando ataques mais graves.
Detalhe técnico
Vulnerabilidade autenticada remota no Oracle Fusion Middleware 11.1.1.4, 11.1.1.6 e 11.1.2.0 que explora validação inadequada de entrada na funcionalidade URLPARAMETER do Report Server Component, permitindo leitura/escrita arbitrária de arquivos via reports/rwservlet. Pode ser combinada com CVE-2012-3153 para execução remota de código através do upload de arquivos JSP.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Unspecified vulnerability in the Oracle Reports Developer component in Oracle Fusion Middleware 11.1.1.4, 11.1.1.6, and 11.1.2.0 allows remote attackers to affect confidentiality and integrity via unknown vectors related to Report Server Component. NOTE: the previous information is from the October 2012 CPU. Oracle has not commented on claims from the original researcher that the URLPARAMETER functionality allows remote attackers to read and upload arbitrary files to reports/rwservlet, and that this issue occurs in earlier versions. NOTE: this can be leveraged with CVE-2012-3153 to execute arbitrary code by uploading a .jsp file.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Produtos afetados
n/a · n/aPoCs públicas encontradas — 4
githubgithub.com/abq0/rwsploit★ 6cve_referencewww.exploit-db.com/exploits/31253não verificadoexploitdbwww.exploit-db.com/exploits/31253não verificadoexploitdbwww.exploit-db.com/exploits/31737não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
http://blog.netinfiltration.com/2013/11/03/oracle-reports-cve-2012-3152-and-cve-2012-3153/http://blog.netinfiltration.com/2014/01/19/upcoming-exploit-release-oracle-forms-and-reports-11g/http://seclists.org/fulldisclosure/2014/Jan/186https://exchange.xforce.ibmcloud.com/vulnerabilities/79295https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-3152http://www.exploit-db.com/exploits/31253http://www.mandriva.com/security/advisories?name=MDVSA-2013:150http://www.oracle.com/technetwork/topics/security/cpuoct2012-1515893.htmlhttp://www.osvdb.org/86394http://www.osvdb.org/86395http://www.securityfocus.com/bid/55955http://www.youtube.com/watch?v=NinvMDOj7sM