CVE-2006-0549

HochVeröffentlicht

Eine SQL-Injection-Sicherheitslücke im Paket SYS.DBMS_METADATA_UTIL in Oracle Database 10g und möglicherweise früheren Versionen könnte entfernten...

Veröffentlicht: 04.02.2006
Aktualisiert: 07.08.2024
CNA zuweisen: mitre
Beweise beobachtet: 23.02.2007

Primäres CVSS

7,5/ 10Hoch

nvd · CVSS 2.0

AV:N/AC:L/Au:N/C:P/I:P/A:P

EPSS-Wahrscheinlichkeitsschätzung

8,5 %

Niedrig · nächste 30 Tage

Perzentil: 95,0 %
Modelldatum: 15.10.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Eine SQL-Injection-Sicherheitslücke im Paket SYS.DBMS_METADATA_UTIL in Oracle Database 10g und möglicherweise früheren Versionen könnte entfernten Angreifern ermöglichen, über unbekannte Vektoren beliebige SQL-Befehle auszuführen. HINWEIS: Aufgrund fehlender relevanter Details aus der Oracle-Sicherheitsmeldung wird eine separate CVE erstellt, da nicht abschließend nachgewiesen werden kann, dass dieses Problem von Oracle behoben wurde. Es ist möglich, dass es sich um dasselbe Problem wie Oracle Vuln# DB05 aus dem CPU vom Januar 2006 handelt; in diesem Fall wäre dies durch CVE-2006-0260 abgedeckt. Allerdings gibt es einige Unstimmigkeiten, die dies unklar machen, und es besteht auch die Möglichkeit, dass dies mit DB06 zusammenhängt, das durch CVE-2006-0259 abgedeckt wird.

Quellen

Oracle 9i/10g - DBMS_METADATA.GET_DDL SQL InjectionExploit
bunker · multiple · 23.02.2007
Oracle 9i/10g DBMS_METADATA.GET_DDL - SQL Injection (2)Exploit
bunker · multiple · 26.02.2007

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.