Suivi KEV › Oracle

CVE-2019-2725 Oracle WebLogic Server : injection

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 10 janvier 2022.

  • Produit : Oracle WebLogic Server
  • Ajoutée au catalogue : 10 janvier 2022
  • Échéance CISA : 10 juillet 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-74
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : WebLogic

Vulnérabilité d'injection dans le composant Oracle WebLogic Server d'Oracle Fusion Middleware (sous-composant : Web Services).

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • vm virtualbox : versions < 5.2.36
  • vm virtualbox : versions ≥ 6.0.0 et < 6.0.16
  • vm virtualbox : versions ≥ 6.1.0 et < 6.1.2
  • agile product lifecycle management : 3 versions, de 9.3.3 à 9.3.5
  • communications converged application server : 3 versions, de 5.1 à 7.1
  • peoplesoft enterprise peopletools : 3 versions, de 8.56 à 8.58
  • storagetek tape analytics sw tool : version 2.3
  • tape library acsls : version 8.5

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection de données dans une sortie (CWE-74) : Le produit construit tout ou partie d'une commande, d'une structure de données ou d'un enregistrement en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la manière dont il est analysé ou interprété lorsqu'il est envoyé à un composant aval.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Oracle WebLogic Server, Injection

Injection vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: Web Services).

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Oracle WebLogic Server

  • CVE-2024-21182 — Oracle WebLogic Server : vulnérabilité non spécifiée (1 juin 2026)
  • CVE-2020-2883 — Oracle WebLogic Server : vulnérabilité non spécifiée (7 janvier 2025)
  • CVE-2020-14644 — Oracle WebLogic Server : vulnérabilité d'exécution de code à distance (18 septembre 2024)
  • CVE-2017-3506 — Oracle WebLogic Server : injection de commandes système (3 juin 2024)
  • CVE-2023-21839 — Oracle WebLogic Server : vulnérabilité non spécifiée (1 mai 2023)
  • CVE-2018-2628 — Oracle WebLogic Server : vulnérabilité non spécifiée (8 septembre 2022)
  • CVE-2017-10271 — Oracle WebLogic Server : exécution de code à distance (10 février 2022)
  • CVE-2020-14883 — Oracle WebLogic Server : vulnérabilité non spécifiée (3 novembre 2021)
  • CVE-2020-14882 — Oracle WebLogic Server : vulnérabilité d'exécution de code à distance (3 novembre 2021)
  • CVE-2020-14750 — Oracle WebLogic Server : vulnérabilité d'exécution de code à distance (3 novembre 2021)

← Toutes les failles Oracle · Suivi KEV