E-Business Suite

Betroffen ist die Oracle E-Business Suite, genauer die Komponente für Dateiübertragung innerhalb des Zahlungsmoduls Oracle Payments. Dort werden Berechtigungen nicht korrekt geprüft und durchgesetzt. Dadurch kann ein Angreifer aus dem Netz über HTTP zugreifen, ohne sich zuvor anmelden oder gültige Zugangsdaten besitzen zu müssen; eine Benutzerinteraktion ist ebenfalls nicht erforderlich, und der Angriff gilt als technisch einfach durchführbar. Gelingt er, kann der Angreifer das Zahlungsmodul vollständig übernehmen – Vertraulichkeit, Integrität und Verfügbarkeit der dort verarbeiteten Daten sind damit gleichermaßen betroffen. Da Oracle Payments Zahlungsvorgänge und zugehörige Finanzdaten verarbeitet, kann eine erfolgreiche Übernahme zum Abfluss sensibler Geschäfts- und Zahlungsinformationen, zu deren Manipulation oder zur Störung des Betriebs führen. Besonders exponiert sind Installationen, deren Weboberfläche aus dem Internet erreichbar ist.