Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar

CVE-2012-3152

Oracle Fusion Middleware Reports Developer'da dosya okuma ve yükleme açığı

Oracle Fusion Middleware

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
5124 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu açık, internetten erişilebilen Oracle raporlama sunucularında saldırganın şifresiz biçimde dosya okumasına ve yüklemesine imkân verebilir. Aktif olarak istismar edildiği bilindiği için risk yüksektir. Etkilenen sistemlerin güncellenmesi acilen yapılmalıdır.

ÖzetTürkçe

Oracle Fusion Middleware 11.1.1.4, 11.1.1.6 ve 11.1.2.0 sürümlerindeki Oracle Reports Developer bileşeninin Report Server kısmında, kimlik doğrulaması gerektirmeden uzaktan istismar edilebilen bir güvenlik açığı bulunuyor. Oracle'ın Ekim 2012 CPU bülteni açığı ayrıntısız tanımlıyor. Araştırmacı ise URLPARAMETER işlevi üzerinden reports/rwservlet'e rastgele dosya okuma ve yükleme yapılabildiğini ve sorunun daha eski sürümlerde de görüldüğünü öne sürüyor; Oracle bu iddialar hakkında yorum yapmamıştır. Açık, CVE-2012-3153 ile birleştirilerek .jsp dosyası yüklenmesi yoluyla rastgele kod çalıştırmak için kullanılabilir. CISA, açığın aktif olarak istismar edildiğini bildiren KEV kataloğuna eklemiştir.

Saldırgan ne yapabilir?

Uzaktan saldırgan, kimlik doğrulaması olmadan gizlilik ve bütünlüğü etkileyebilir; sunucudaki dosyaları okuyabilir veya dosya yükleyebilir. CVE-2012-3153 ile birleştirildiğinde sunucuda kod çalıştırması mümkündür.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in the Oracle Reports Developer component in Oracle Fusion Middleware 11.1.1.4, 11.1.1.6, and 11.1.2.0 allows remote attackers to affect confidentiality and integrity via unknown vectors related to Report Server Component. NOTE: the previous information is from the October 2012 CPU. Oracle has not commented on claims from the original researcher that the URLPARAMETER functionality allows remote attackers to read and upload arbitrary files to reports/rwservlet, and that this issue occurs in earlier versions. NOTE: this can be leveraged with CVE-2012-3153 to execute arbitrary code by uploading a .jsp file.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Oracle'ın Ekim 2012 Critical Patch Update (CPU) bülteninde yayımlanan güncellemeleri Oracle Fusion Middleware 11.1.1.4, 11.1.1.6 ve 11.1.2.0 kurulumlarınıza uygulayın. Genel öneri
  2. CISA'nın gerekli işlem talimatı uyarınca güncellemeleri satıcı yönergelerine göre uygulayın. CISA
  3. Güncelleme hemen mümkün değilse Reports Server (rwservlet) erişimini ağ güvenlik duvarı veya ters vekil ile yalnızca güvenilir adreslere kısıtlayın ve internetten erişimi kapatın. Genel öneri
  4. Sunucuda yetkisiz yüklenmiş dosya (özellikle .jsp) olup olmadığını kontrol edin; şüpheli dosya bulursanız sistemi ele geçirilmiş kabul ederek müdahale edin. Genel öneri

Ek önlemler

  • Oracle Reports sunucularını doğrudan internete açmayın; yalnızca VPN veya iç ağ üzerinden erişilebilir kılın. Genel öneri
  • Web sunucusu günlüklerinde rwservlet'e yönelik olağan dışı istekleri ve URLPARAMETER kullanımını izleyin. Genel öneri
  • Uygulama sunucusu hesabının dosya sistemi yetkilerini asgariye indirin ve web dizinlerine yazma iznini sınırlayın. Genel öneri
  • Oracle'ın üç aylık CPU güncellemelerini düzenli takip edip uygulayın; desteği sona ermiş sürümleri yükseltin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Fusion Middleware Sürüm belirtilmemiş –

Kaynaklar13 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.