{"id":225091,"date":"2019-11-21T01:18:00","date_gmt":"2019-11-20T23:18:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=225091"},"modified":"2021-06-13T22:01:17","modified_gmt":"2021-06-13T20:01:17","slug":"risiko-ungepatchte-oracle-e-business-suite-ebs","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/11\/21\/risiko-ungepatchte-oracle-e-business-suite-ebs\/","title":{"rendered":"Risiko: Ungepatchte Oracle E-Business Suite (EBS)"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>Kurze Information f\u00fcr Administratoren, die f\u00fcr die Oracle E-Business Suite (EBS) verantwortlich sind. Dort gab es zwei kritische Schwachstellen, die Angreifern die komplette \u00dcbernahme des ERP-Systems eines Unternehmens erm\u00f6glichten. Oracle hat es im April 2019 mit Patches behoben, aber es gibt wohl tausende Firmen, die die Updates nicht installiert haben.<\/p>\n<p><!--more--><\/p>\n<h2>Schwachstellen CVE-2019-2638 und CVE-2019-2633<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/vg01.met.vgwort.de\/na\/42b5533acbbd4229aa28e5c62a4a3b3d\" width=\"1\" height=\"1\"\/>Die Schwachstelle CVE-2019-2638 betrifft den Consolidation Hierarchy Viewer in der Oracle General Ledger Komponente der Oracle E-Business Suite. Die Schwachstelle wird als leicht ausnutzbare kategorisiert. Sie erm\u00f6glichen niedrig privilegierten Angreifern mit Netzwerkzugriff \u00fcber HTTP das Oracle General Ledger zu gef\u00e4hrden. Erfolgreiche Angriffe auf diese Schwachstelle k\u00f6nnen zu unbefugtem Erstellen, L\u00f6schen oder \u00c4ndern des Zugriffs auf kritische Daten oder alle auf Oracle General Ledger zug\u00e4nglichen Daten sowie zu unbefugtem Zugriff auf kritische Daten oder zum vollst\u00e4ndigen Zugriff auf alle auf Oracle General Ledger zug\u00e4nglichen Daten f\u00fchren. Die Schwachstelle hat in CVSS 3.0 die Basisbewertung 9.9 f\u00fcr die Sicherheitsstufe erhalten (also sehr kritisch).<\/p>\n<p>Die Schwachstelle CVE-2019-2633 existiert in der Messages-Komponente des Oracle Work in Process. Erfolgreiche Angriffe auf diese Schwachstelle k\u00f6nnen zu unbefugtem Erstellen, L\u00f6schen oder \u00c4ndern des Zugriffs auf kritische Daten oder alle auf Oracle Work in Process zug\u00e4nglichen Daten sowie zu unbefugtem Zugriff auf kritische Daten oder vollst\u00e4ndigem Zugriff auf alle auf Oracle Work in Process zug\u00e4nglichen Daten f\u00fchren. Die Schwachstelle hat in CVSS 3.0 die Basisbewertung 9.9 erhalten. <\/p>\n<h2>Problem: Ungepatchte Systeme<\/h2>\n<p>Bleeping Computer berichtet <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/thousands-of-enterprises-at-risk-due-to-oracle-ebs-critical-flaws\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a>, dass Oracle f\u00fcr diese Schwachstellen zum <a href=\"https:\/\/www.oracle.com\/security-alerts\/cpuapr2019.html\" target=\"_blank\" rel=\"noopener noreferrer\">Patchday im April 2019 Updates<\/a> bereitgestellt habe. Es m\u00fcsste also alles in trockenen T\u00fcchern sein. Allerdings gibt es wohl viele Firmen, die mit einer ungepatchten Oracle E-Business Suite (EBS) unterwegs sind. Sicherheitsanbieter Onapsis hat <a href=\"https:\/\/web.archive.org\/web\/20200306114919\/https:\/\/www.onapsis.com\/oracle-payday-vulnerabilities\" target=\"_blank\" rel=\"noopener noreferrer\">hier ein Survey<\/a> ver\u00f6ffentlicht, wo festgestellt wird, dass tausende Firmen, trotz verf\u00fcgbarer Updates mit ungepatchten Oracle E-Business Suite (EBS) unterwegs arbeiten. Die Sicherheitsexperten h\u00e4tten zwei schwerwiegende Beispiele daf\u00fcr identifiziert, was ein Angriff auf diese Oracle EBS-Schwachstellen f\u00fcr das Gesch\u00e4ft und die Finanzen eines Unternehmens bedeuten w\u00fcrde.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Kurze Information f\u00fcr Administratoren, die f\u00fcr die Oracle E-Business Suite (EBS) verantwortlich sind. Dort gab es zwei kritische Schwachstellen, die Angreifern die komplette \u00dcbernahme des ERP-Systems eines Unternehmens erm\u00f6glichten. Oracle hat es im April 2019 mit Patches behoben, aber es &hellip; <a href=\"https:\/\/borncity.com\/blog\/2019\/11\/21\/risiko-ungepatchte-oracle-e-business-suite-ebs\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-225091","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/225091","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=225091"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/225091\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=225091"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=225091"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=225091"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}