日本語

CVE-2006-0586 : 詳細

CVE-2006-0586

17.06%V4
2006-02-08
01h00 +00:00
SQL Injection
A03-Injection
Network
2024-08-07
16h41 +00:00
CVE.org
NVD
特定のCVEの通知
特定のCVEの変更情報をいち早くお届けします。
通知を管理する

CVE の説明

Multiple SQL injection vulnerabilities in Oracle 10g Release 1 before CPU Jan 2006 allow remote attackers to execute arbitrary SQL commands via multiple parameters in (1) ATTACH_JOB, (2) HAS_PRIVS, and (3) OPEN_JOB functions in the SYS.KUPV$FT package; and (4) UPDATE_JOB, (5) ACTIVE_JOB, (6) ATTACH_POSSIBLE, (7) ATTACH_TO_JOB, (8) CREATE_NEW_JOB, (9) DELETE_JOB, (10) DELETE_MASTER_TABLE, (11) DETACH_JOB, (12) GET_JOB_INFO, (13) GET_JOB_QUEUES, (14) GET_SOLE_JOBNAME, (15) MASTER_TBL_LOCK, and (16) VALID_HANDLE functions in the SYS.KUPV$FT_INT package. NOTE: due to the lack of relevant details from the Oracle advisory, a separate CVE is being created since it cannot be conclusively proven that these issues has been addressed by Oracle. It is unclear which, if any, Oracle Vuln# identifiers apply to these issues.

CVE の情報

関連する弱点

CWE-ID 弱点名 出典
CWE-89 Improper Neutralization of Special Elements used in an SQL Command
The product constructs all or part of an SQL command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended SQL command when it is sent to a downstream component. Without sufficient removal or quoting of SQL syntax in user-controllable inputs, the generated SQL query can cause those inputs to be interpreted as SQL instead of ordinary user data.

メトリクス

メトリクス スコア 深刻度 CVSS ベクター 出典
V2 7.5 AV:N/AC:L/Au:N/C:P/I:P/A:P nvd@nist.gov

EPSS

EPSSは脆弱性が悪用される可能性を予測するスコアリングモデルです。

EPSSスコア

EPSSモデルは0から1（0〜100%）の確率スコアを算出します。スコアが高いほど、脆弱性が悪用される可能性が高いことを示します。

EPSSパーセンタイル

パーセンタイルはCVEをEPSSスコアで順位付けするために使用されます。例えば、EPSSスコアで95パーセンタイルにあるCVEは、他の95%のCVEよりも悪用される可能性が高いことを意味します。パーセンタイルはCVEのEPSSスコアを他のCVEと比較するために使用されます。
EPSS First.org

エクスプロイト情報

Exploit Database EDB-ID : 3179

公開日 : 2007-01-22 23h00 +00:00
著者 : Joxean Koret
EDB検証済み : Yes

Exploit Database EDB-ID : 3359

公開日 : 2007-02-21 23h00 +00:00
著者 : bunker
EDB検証済み : Yes

Exploit Database EDB-ID : 3376

公開日 : 2007-02-25 23h00 +00:00
著者 : bunker
EDB検証済み : Yes

関連製品

構成 0

Oracle>>Application_server >> Version 10.1.0.2

Oracle>>Application_server >> Version 10.1.0.3

Oracle>>Application_server >> Version 10.1.0.3.1

Oracle>>Application_server >> Version 10.1.0.4

Oracle>>Application_server >> Version 10.1.2

Oracle>>Application_server >> Version 10.1.2.0.1

Oracle>>Application_server >> Version 10.1.2.0.2

Oracle>>Application_server >> Version 10.1.2.1.0

Oracle>>Oracle10g >> Version enterprise_10.1.0.2

Oracle>>Oracle10g >> Version enterprise_10.1.0.3

Oracle>>Oracle10g >> Version enterprise_10.1.0.3.1

Oracle>>Oracle10g >> Version enterprise_10.1.0.4

Oracle>>Oracle10g >> Version personal_10.1.0.2

Oracle>>Oracle10g >> Version personal_10.1.0.3

Oracle>>Oracle10g >> Version personal_10.1.0.4

Oracle>>Oracle10g >> Version personal_10.10.3.1

Oracle>>Oracle10g >> Version standard_10.1.0.2

Oracle>>Oracle10g >> Version standard_10.1.0.3

Oracle>>Oracle10g >> Version standard_10.1.0.3.1

Oracle>>Oracle10g >> Version standard_10.1.0.4

Oracle>>Oracle10g >> Version standard_10.1.0.4.2

Oracle>>Oracle10g >> Version standard_10.1.0.5

参考資料

http://www.osvdb.org/22840
Tags : vdb-entry, x_refsource_OSVDB
http://www.osvdb.org/22839
Tags : vdb-entry, x_refsource_OSVDB
http://www.securityfocus.com/bid/16294
Tags : vdb-entry, x_refsource_BID
CVE Findに掲載されている情報は、慎重に選定された複数の参照ソースから取得されています。CVEデータはMITRE Corporationおよび国家脆弱性データベース（NVD）が提供しています。既知の悪用された脆弱性（KEV）カタログはサイバーセキュリティ・インフラセキュリティ庁（CISA）から、EPSSスコアはFIRST.orgから取得しています。また、ソフトウェアの弱点（CWE）および共通攻撃パターン（CAPEC）に関するデータはMITRE Corporationが管理し、ハードウェアおよびソフトウェア構成（CPE）に関する情報はNVDが提供しています。