🇰🇷 한글 설명
Oracle Analytics의 Business Intelligence Enterprise Edition(Analytics Web General 컴포넌트)에 존재하는 취약점입니다. 영향받는 버전은 8.2.0.0.0, 12.2.1.4.0, 26.01.0.0.0이며, 낮은 권한의 공격자가 HTTP를 통해 네트워크로 접근해 공격할 수 있습니다. 공격 성공 시 일부 데이터에 대한 무단 수정·삽입·삭제 및 일부 데이터의 무단 읽기가 가능하며, 다른 제품에도 영향을 줄 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 웹을 통해 Oracle 비즈니스 인텔리전스 시스템의 일부 데이터를 보거나 바꿀 수 있는 문제입니다. 공격에는 다른 사용자의 클릭 같은 상호작용이 필요합니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Analytics (component: Analytics Web General). Supported versions that are affected are 8.2.0.0.0, 12.2.1.4.0 and 26.01.0.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Business Intelligence Enterprise Edition. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Oracle Business Intelligence Enterprise Edition, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Business Intelligence Enterprise Edition accessible data as well as unauthorized read access to a subset of Oracle Business Intelligence Enterprise Edition accessible data. CVSS 3.1 Base Score 5.4 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N).
📍 영향받는 시스템
Oracle Business Intelligence Enterprise Edition 8.2.0.0.0, 12.2.1.4.0, 26.01.0.0.0 (Oracle Analytics)
⚔️ 공격 벡터
네트워크(HTTP)로 접근 가능한 낮은 권한 계정이 사용자 상호작용을 유도해 데이터 조회·변경을 시도
🛡️ 대응 방법
Oracle 보안 패치(Critical Patch Update)를 즉시 적용하고 최신 지원 버전으로 업그레이드
🔧 검증 코드
출력된 패치 목록에 Oracle 권고 패치 번호가 있으면 적용된 것이며, 없거나 명령이 실패하면 미적용 또는 설치 경로 확인이 필요합니다.
opatch lspatches 2>/dev/null | grep -i 'Business Intelligence'