JVNDB-2016-001272

Oracle Enterprise Manager Grid Control の Oracle Application Testing Suite における Test Manager for Web Apps に関する脆弱性

Oracle Enterprise Manager Grid Control の Oracle Application Testing Suite には、Test Manager for Web Apps に関する処理に不備があるため、機密性、完全性、および可用性に影響のある脆弱性が存在します。

なお、上記の情報は、ベンダ情報 Oracle Critical Patch Update Advisory - January 2016 に基づくものです。
ベンダは、サードパーティの、「本件は、ActionServlet サーブレットにおけるディレクトリトラバーサルの脆弱性であり、リモート認証されたユーザにより、ReportImage アクションの tempfilename パラメータのディレクトリトラバーサルシーケンスを介して、任意のファイルをアップロードされ、実行される問題が存在する」とする主張に対して、コメントしていません。

オラクル

• Oracle Enterprise Manager Grid Control の Oracle Application Testing Suite 12.4.0.2
• Oracle Enterprise Manager Grid Control の Oracle Application Testing Suite 12.5.0.2

リモート認証されたユーザにより、情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 攻撃が行われる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

オラクル

• Oracle Critical Patch Update : Oracle Critical Patch Update Advisory - January 2016
• Oracle Critical Patch Update : Text Form of Oracle Critical Patch Update - January 2016 Risk Matrices
• SECURITY BLOG : January 2016 Critical Patch Update Released

1. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2016-0489

1. National Vulnerability Database (NVD) : CVE-2016-0489

• [2016年01月26日]
    掲載
  [2016年06月27日]
    概要：内容を更新