Summary
Oracle heeft kwetsbaarheden verholpen in Oracle REST Data Services (versies 24.2.0 tot 26.1.0) en Oracle Database Server (versies 23.4.0 tot 23.26.2).
Details
Interpretaties
De kwetsbaarheden in Oracle REST Data Services stellen een aanvaller met lage privileges en netwerktoegang via HTTPS in staat om zonder authenticatie verschillende acties uit te voeren, waaronder het volledig overnemen van de service, ongeautoriseerde toegang tot data, het wijzigen of verwijderen van data, en het veroorzaken van een denial-of-service. Sommige kwetsbaarheden maken het mogelijk om authenticatie te omzeilen en willekeurige acties uit te voeren binnen de getroffen omgeving. Daarnaast kunnen denial-of-service-condities worden veroorzaakt door het laten hangen of crashen van de service. In Oracle Database Server kunnen ongeauthenticeerde aanvallers met netwerktoegang via TLS de Net Service-component overnemen of een denial-of-service veroorzaken, wat impact heeft op vertrouwelijkheid, integriteit en beschikbaarheid. Verder is er een kwetsbaarheid in Eclipse Jetty's HTTP/1.1 parser die request smuggling mogelijk maakt door onjuiste verwerking van chunked transfer encoding extensions, wat kan leiden tot beveiligingsomzeilingen zoals cache poisoning en sessiekaping. Voor deze Jetty-kwetsbaarheid zijn momenteel geen patches of mitigaties beschikbaar.
Oplossingen
Oracle heeft updates uitgebracht om de kwetsbaarheden in Oracle REST Data Services en Oracle Database Server te verhelpen. Voor de kwetsbaarheid in Eclipse Jetty's HTTP/1.1 parser zijn op dit moment geen patches of mitigaties beschikbaar. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 14
-
Critical 10.0
Vulnerability in Oracle REST Data Services (component: Backend-as-a-Service). Supported versions that are affected are …
-
Critical 9.9
Vulnerability in Oracle REST Data Services (component: Core). Supported versions that are affected are 24.2.0-26.1.0. E…
-
Critical 9.9
Vulnerability in Oracle REST Data Services (component: Core). Supported versions that are affected are 24.2.0-26.1.0. E…
-
Critical 9.0
Vulnerability in the Net Service component of Oracle Database Server. Supported versions that are affected are 23.4.0-2…
-
High 8.1
Vulnerability in Oracle REST Data Services (component: Core). Supported versions that are affected are 24.2.0-26.1.0. E…
-
High 7.9
Vulnerability in Oracle REST Data Services (component: Core). Supported versions that are affected are 24.2.0-26.1.0. D…
-
High 7.5
Vulnerability in Oracle REST Data Services (component: Mongoapi). Supported versions that are affected are 24.2.0-26.1.…
-
High 7.5
Vulnerability in the Net Service component of Oracle Database Server. Supported versions that are affected are 23.4.0-2…
-
High 7.5
Vulnerability in the Net Service component of Oracle Database Server. Supported versions that are affected are 23.4.0-2…
-
High 7.4CVE-2026-2332 Public exploit
HTTP Request Smuggling via Chunked Extension Quoted-String Parsing
In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.htm…
-
Medium 5.3
Vulnerability in Oracle REST Data Services (component: Mongoapi). Supported versions that are affected are 24.2.0-26.1.…
-
Medium 5.3
Vulnerability in Oracle REST Data Services (component: General). Supported versions that are affected are 24.2.0-26.1.0…
-
Medium 5.3
Vulnerability in Oracle REST Data Services (component: Core). Supported versions that are affected are 24.2.0-26.1.0. E…
-
Medium 5.3
Vulnerability in Oracle REST Data Services (component: Core). Supported versions that are affected are 24.2.0-26.1.0. E…
Revision history
-
#1.0.0
Initiele versie
References
-
Reference
https://www.oracle.com/security-alerts/cspumay2026.html