JVN#50837839: Oracle Application Server におけるクロスサイトスクリプティングの脆弱性

Oracle が提供する Oracle Application Server には、クロスサイトスクリプティングの脆弱性が存在します。

Oracle Application Server 10g Release 3 (10.1.3), versions 10.1.3.4.0, 10.1.3.5, 10.1.3.5.1
Oracle Application Server 10g Release 2 (10.1.2), version 10.1.2.3.0

Oracle が提供する Oracle Application Server は、アプリケーションサーバです。Oracle Application Server には、クロスサイトスクリプティングの脆弱性が存在します。

ユーザのウェブブラウザ上で任意のスクリプトを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。

ベンダ	リンク
Oracle	Oracle Critical Patch Update Advisory - January 2010
	Oracle Critical Patch Update Advisory - January 2010

2010.01.14における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	ある程度の専門知識や運 (条件が揃う確率は高い) が必要	中 - 高

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 福森大喜氏

JVN#50837839 Oracle Application Server におけるクロスサイトスクリプティングの脆弱性