CVE-2021-2351
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Advanced Networking Option serwera Oracle Database. Dotyczy wersji 12.1.0.2, 12.2.0.1 i 19c. Trudna do wykorzystania, pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez Oracle Net na naruszenie Advanced Networking Option. Udane ataki wymagają interakcji człowieka innego niż atakujący i mogą znacząco wpłynąć na inne produkty. Udany atak może skutkować przejęciem Advanced Networking Option. Uwaga: Łata krytyczna z lipca 2021 wprowadza zmiany w Native Network Encryption, aby zapobiec użyciu słabszych szyfrów. CVSS 3.1 Base Score 8.3.
Ocena ryzyka
Podatność może umożliwić atakującemu przejęcie komponentu Advanced Networking Option, co może prowadzić do naruszenia poufności, integralności i dostępności danych, a także wpłynąć na inne produkty.
Rekomendacja
Zastosuj poprawki z Critical Patch Update z lipca 2021 i zapoznaj się z dokumentacją 'Changes in Native Network Encryption with the July 2021 Critical Patch Update' (Doc ID 2791571.1).
Inne podatności w Oracle Database Server
Zobacz wszystkie- CVE-2026-101512Średnie
Podatność w komponencie RDBMS Oracle Database Server dotyczy wersji 23.4.0-23.26.3. Łatwo wykorzystywalna luka pozwala niskopriorytetowemu atakującemu bez specjalnych uprawnień z dostępem sieciowym przez HTTP uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych RDBMS.
- CVE-2026-71064Krytyczne
Podatność w komponencie Portable Clusterware serwera Oracle Database Server dotyczy wersji 19.3-19.32, 21.3-21.23 oraz 23.4.0-23.26.3. Atakujący bez uwierzytelnienia, mający dostęp do fizycznego segmentu komunikacyjnego, może przejąć kontrolę nad komponentem. Wynik CVSS to 9.6.
- CVE-2026-71063Krytyczne
Podatność w komponencie Portable Clusterware serwera Oracle Database Server dotyczy wersji 19.3-19.32, 21.3-21.23 oraz 23.4.0-23.26.3. Atakujący bez uwierzytelnienia, mający dostęp do fizycznego segmentu komunikacyjnego, może przejąć kontrolę nad komponentem. Wynik CVSS to 9.6.
- CVE-2026-61211Krytyczne
Podatność w komponencie RDBMS Oracle Database Server (wersje 19.3-19.31 i 23.4.0-23.26.2) pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez Oracle Net na przejęcie RDBMS. Atak ma wpływ na dodatkowe produkty (zmiana zakresu). CVSS 9.9.
- CVE-2026-46833Krytyczne
Podatność w komponencie Net Service Oracle Database Server w wersjach 23.4.0-23.26.2. Trudna do wykorzystania, pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TLS na przejęcie Net Service. Atak może wpływać na dodatkowe produkty (zmiana zakresu).
- CVE-2026-91615Średnie
Podatność w komponencie Java VM produktu Oracle Database Server dotyczy wersji 19.3-19.32, 21.3-21.23 i 23.4.0-23.26.3. Trudna do wykorzystania luka pozwala niskouprzywilejowanemu atakującemu z dostępem sieciowym przez SOCKS5 na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych.
- CVE-2026-91568Wysokie
Podatność w komponencie RDBMS Oracle Database Server w wersjach 23.4.0-23.26.3. Łatwy do wykorzystania atak przez Oracle Net pozwala napastnikowi z niskimi uprawnieniami (Create Session) na nieautoryzowany dostęp do krytycznych danych, z możliwym wpływem na inne produkty.
- CVE-2026-91563Wysokie
Podatność w komponencie Oracle OLAP Oracle Database Server w wersjach 19.3-19.32, 21.3-21.23 i 23.4.0-23.26.3. Łatwy do wykorzystania atak przez Oracle Net pozwala napastnikowi z niskimi uprawnieniami (DBMS_AW) na przejęcie kontroli nad Oracle OLAP.
- CVE-2026-91503Wysokie
Podatność w komponencie VPD (Virtual Private Database) serwera Oracle Database. Nisko uprzywilejowany atakujący z uprawnieniem Create Table może przez sieć (Oracle Net) uzyskać nieautoryzowany dostęp do danych VPD, w tym ich tworzenie, usuwanie i modyfikację. CVSS 8.1.
- CVE-2026-91499Wysokie
Podatność w komponencie RDBMS serwera Oracle Database Server. Nisko uprzywilejowany atakujący z uprawnieniem DBMS_VECTOR może przez sieć (Oracle Net) przejąć kontrolę nad RDBMS. CVSS 8.8.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the Advanced Networking Option component of Oracle Database Server. Supported versions that are affected are 12.1.0.2, 12.2.0.1 and 19c. Difficult to exploit vulnerability allows unauthenticated attacker with network access via Oracle Net to compromise Advanced Networking Option. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Advanced Networking Option, attacks may significantly impact additional products. Successful attacks of this vulnerability can result in takeover of Advanced Networking Option. Note: The July 2021 Critical Patch Update introduces a number of Native Network Encryption changes to deal with vulnerability CVE-2021-2351 and prevent the use of weaker ciphers. Customers should review: "Changes in Native Network Encryption with the July 2021 Critical Patch Update" (Doc ID 2791571.1). CVSS 3.1 Base Score 8.3 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS