Podatność w komponencie Discovery Framework produktu Oracle Enterprise Manager Base Platform umożliwia niskouprzywilejowanemu atakującemu zdalne przejęcie kontroli nad systemem. Wysoki wynik CVSS 9.9 oraz zmiana zakresu (scope change) sprawiają, że zagrożenie może objąć również inne produkty powiązane z platformą.
▸ Pokaż oryginał (EN)
Vulnerability in the Oracle Enterprise Manager Base Platform product of Oracle Enterprise Manager (component: Discovery Framework). Supported versions that are affected are 13.5 and 24.1. Easily exploitable vulnerability allows low privileged attacker with network access via HTTPS to compromise Oracle Enterprise Manager Base Platform. While the vulnerability is in Oracle Enterprise Manager Base Platform, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Enterprise Manager Base Platform. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).
Atakujący posiadający konto z niskim poziomem uprawnień może wykorzystać podatność zdalnie przez sieć przy użyciu protokołu HTTPS, bez konieczności jakiejkolwiek interakcji ze strony użytkownika. Podatność jest łatwa do wykorzystania (niska złożoność ataku) i dotyczy komponentu Discovery Framework. Dokładny mechanizm techniczny nie został ujawniony w publicznym opisie, jednak klasyfikacja CWE-284 wskazuje na nieprawidłową kontrolę dostępu.
Skuteczne wykorzystanie podatności prowadzi do pełnego przejęcia instancji Oracle Enterprise Manager Base Platform, obejmując naruszenie poufności, integralności oraz dostępności danych i systemu. Ze względu na zmianę zakresu (scope change) atak może negatywnie wpłynąć również na inne produkty i systemy zarządzane przez platformę.
Należy zastosować patche dostępne w ramach Oracle Critical Patch Update z czerwca 2026 roku, zgodnie z referencjami producenta: https://www.oracle.com/security-alerts/cspujun2026.html
Oracle Enterprise Manager Base Platform w wersjach 13.5 oraz 24.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HOracle Enterprise Manager Base Platform
APPOracle13.5.0.024.1.0.0.0
Powiązane podatności
Krytyczna podatność w Oracle Enterprise Manager — przejęcie systemu bez uwierzytelnienia
Krytyczna podatność w Oracle Enterprise Manager Base Platform – UI Framework
Przejęcie kontroli nad Oracle Enterprise Manager Base Platform — krytyczna podatność w Target Management
Privilege Escalation w Oracle Enterprise Manager Base Platform — Metadata Plugin
XSS i przejęcie kontroli w Oracle Enterprise Manager Base Platform (Metadata Plugin)