🇰🇷 한글 설명
Oracle Analytics의 Business Intelligence Enterprise Edition 제품 내 Analytics Web Administration 컴포넌트에 존재하는 취약점입니다. 네트워크를 통해 HTTP로 접근 가능한 높은 권한의 공격자가 해당 제품을 장악할 수 있으며, 공격 영향이 다른 제품에까지 미치는(Scope Change) 치명적인 취약점입니다. CVSS 기본 점수는 9.1로 기밀성, 무결성, 가용성 전반에 높은 영향을 줍니다.
💡 쉬운 설명
Oracle의 비즈니스 분석 시스템 관리 기능에 큰 결함이 있어, 권한을 가진 사용자가 시스템 전체를 장악할 수 있습니다. 이 문제는 다른 연결된 시스템에도 피해를 줄 수 있어 즉시 조치가 필요합니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Analytics (component: Analytics Web Administration). Supported versions that are affected are 8.2.0.0.0, 12.2.1.4.0 and 26.01.0.0.0. Easily exploitable vulnerability allows high privileged attacker with network access via HTTP to compromise Oracle Business Intelligence Enterprise Edition. While the vulnerability is in Oracle Business Intelligence Enterprise Edition, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Business Intelligence Enterprise Edition. CVSS 3.1 Base Score 9.1 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H).
📍 영향받는 시스템
Oracle Business Intelligence Enterprise Edition 8.2.0.0.0, 12.2.1.4.0, 26.01.0.0.0
⚔️ 공격 벡터
네트워크(HTTP)를 통해 높은 권한을 가진 공격자가 Analytics Web Administration 기능을 악용하여 시스템을 장악
🛡️ 대응 방법
Oracle 공식 보안 패치(Critical Patch Update)를 즉시 적용하고, 관리자 페이지 접근을 내부망으로 제한
🔧 검증 코드
출력된 버전이 8.2.0.0.0, 12.2.1.4.0, 26.01.0.0.0 중 하나와 일치하면 취약하므로 패치 적용 여부를 확인해야 하며, 결과가 없으면 해당 경로에서 설치 버전을 찾을 수 없음을 의미합니다.
grep -ri 'biVersion\|version' $ORACLE_HOME/bifoundation/server/bin/*.version 2>/dev/null | head -5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition