Know every vulnerabilitybefore it knows you.
DevGuard continuously monitors your dependencies and alerts you when CVEs like this one affect your stack — with real-time threat intelligence built for developers.
- Feiten
Oracle heeft kwetsbaarheden verholpen in Oracle Communications
- Interpretaties
De kwetsbaarheden zitten in twee onderliggende producten: SQLite en Log4j en zijn eerder verholpen door de ontwikkelaars van deze producten. Oracle heeft de updates verwerkt in de eigen software. In SQLite kan een remote aanvaller via speciaal vervaardigde ZIP-bestanden heap geheugen uitlekken door een informatielek in de zipfileInflate functie van de zipfile extensie. In Log4j leidt onjuiste serialisatie van niet-eindige floating-point waarden zoals NaN of infinity in de JsonTemplateLayout tot ongeldig JSON-output, wat downstream logverwerkende systemen kan verstoren. Dit kan misbruikt worden als applicaties door de aanvaller gecontroleerde MapMessages loggen, wat een denial of service in loganalyse workflows veroorzaakt.
- Oplossingen
Oracle heeft updates uitgebracht voor Communications om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.
- Kans
medium
- Schade
high
- CWE-116
Improper Encoding or Escaping of Output
- CWE-241
Improper Handling of Unexpected Data Type
- CWE-244
Improper Clearing of Heap Memory Before Release ('Heap Inspection')
- CWE-908
Use of Uninitialized Resource
Continuously monitor your dependencies and get alerted when vulnerabilities like this one affect your stack.
Checkout DevGuard