CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2012-3152

Oracle Reports Developer – odczyt i upload plików umożliwiający RCE

CVSS 9.1v3.1pub. 2012-10-16upd. 2026-04-21

Podatność w komponencie Oracle Reports Developer wchodzącym w skład Oracle Fusion Middleware pozwala nieuwierzytelnionemu atakującemu zdalnie odczytywać oraz przesyłać dowolne pliki za pośrednictwem punktu końcowego reports/rwservlet. Jest szczególnie groźna, ponieważ w połączeniu z CVE-2012-3153 umożliwia pełne zdalne wykonanie kodu (RCE).

▸ Pokaż oryginał (EN)

Unspecified vulnerability in the Oracle Reports Developer component in Oracle Fusion Middleware 11.1.1.4, 11.1.1.6, and 11.1.2.0 allows remote attackers to affect confidentiality and integrity via unknown vectors related to Report Server Component. NOTE: the previous information is from the October 2012 CPU. Oracle has not commented on claims from the original researcher that the URLPARAMETER functionality allows remote attackers to read and upload arbitrary files to reports/rwservlet, and that this issue occurs in earlier versions. NOTE: this can be leveraged with CVE-2012-3153 to execute arbitrary code by uploading a .jsp file.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej kontroli dostępu w mechanizmie URLPARAMETER komponentu Report Server. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie HTTP do endpointu reports/rwservlet, odczytując dowolne pliki z serwera lub przesyłając własne pliki. Wgranie pliku .jsp na serwer, a następnie jego wywołanie (przy użyciu CVE-2012-3153), prowadzi do wykonania dowolnego kodu po stronie serwera.

Skutki

Atakujący może odczytać poufne dane z serwera oraz przesłać złośliwe pliki, co w połączeniu z CVE-2012-3153 skutkuje pełnym przejęciem kontroli nad serwerem aplikacyjnym poprzez wykonanie dowolnego kodu (RCE).

Mitygacja

Należy zastosować patche opublikowane przez Oracle w ramach Critical Patch Update (CPU) z października 2012 roku. Zaleca się również ograniczenie dostępu sieciowego do endpointu reports/rwservlet wyłącznie do zaufanych hostów oraz monitorowanie prób nieautoryzowanego dostępu do tego zasobu.

Kogo dotyczy

Oracle Fusion Middleware w wersjach 11.1.1.4, 11.1.1.6 oraz 11.1.2.0 (komponent Oracle Reports Developer); według badacza podatność może również występować we wcześniejszych wersjach

Uwagi

Podatność posiada publicznie dostępny exploit w bazie Exploit-DB (exploit nr 31253). Zgodnie z opisem CVE, błąd można łączyć z CVE-2012-3153 w celu osiągnięcia RCE przez wgranie pliku .jsp. CISA potwierdziła aktywne wykorzystywanie tej podatności.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Oracle Fusion Middleware
APP
Oracle
11.1.1.4.011.1.1.6.011.1.2.0

CISA KEV — szczegółyi

Dostawcai: Oracle ↗
Produkti: Fusion Middleware
Data dodania do KEVi: 3 listopada 2021
Termin remediation (USA)i: 3 maja 2022(po terminie)

🔧Advisory Oracle↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj aktualizacje zgodnie z instrukcjami producenta.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply updates per vendor instructions.

Opis CISAi

Oracle Fusion Middleware Reports Developer zawiera niezidentyfikowaną lukę bezpieczeństwa, która umożliwia zdalnym atakującym wpłynięcie na poufność i integralność dotkniętych systemów.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Oracle Fusion Middleware Reports Developer contains an unspecified vulnerability that allows remote attackers to affect confidentiality and integrity of affected systems.

🔴