🇰🇷 한글 설명
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition(플랫폼 보안 구성요소)에서 발견된 취약점입니다. 영향받는 버전은 8.2.0.0.0 및 12.2.1.4.0이며, 인증되지 않은 공격자가 해당 제품이 실행되는 인프라에 접근할 수 있는 상태에서 쉽게 악용할 수 있습니다. 공격 성공 시 기밀성, 무결성, 가용성이 모두 침해되어 제품 장악이 가능하며, CVSS 3.1 기준 7.8(HIGH)입니다.
💡 쉬운 설명
이 취약점을 이용하면 로그인하지 않은 공격자도 비즈니스 분석 시스템을 장악할 수 있습니다. 공격을 완료하려면 공격자가 아닌 다른 사람의 조작(예: 클릭)이 필요합니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Analytics (component: Platform Security). Supported versions that are affected are 8.2.0.0.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with logon to the infrastructure where Oracle Business Intelligence Enterprise Edition executes to compromise Oracle Business Intelligence Enterprise Edition. Successful attacks require human interaction from a person other than the attacker. Successful attacks of this vulnerability can result in takeover of Oracle Business Intelligence Enterprise Edition. CVSS 3.1 Base Score 7.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
📍 영향받는 시스템
Oracle Business Intelligence Enterprise Edition 8.2.0.0.0 및 12.2.1.4.0 버전
⚔️ 공격 벡터
인증 없이 인프라에 접근 가능한 공격자가 사용자 상호작용을 유도하여 제품을 장악 (로컬 접근 필요, AV:L)
🛡️ 대응 방법
Oracle 보안 패치(Critical Patch Update)를 최신 버전으로 즉시 적용하고, 공식 권고문을 확인
🔧 검증 코드
출력에 설치된 BI 패치 목록이 나오며, 해당 CVE의 패치 ID가 보이지 않으면 미적용 상태이므로 Oracle 권고에 따라 패치를 적용해야 합니다.
opatch lsinventory 2>/dev/null | grep -iE 'Business Intelligence|BI'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition