🇰🇷 한글 설명
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 제품 중 Visual Analyzer 컴포넌트에 존재하는 취약점입니다. 영향을 받는 버전은 26.01.0.0.0이며, 네트워크(HTTP)로 접근 가능한 낮은 권한의 공격자가 악용할 수 있습니다. 성공 시 Oracle Business Intelligence Enterprise Edition에서 접근 가능한 데이터 일부를 무단으로 읽을 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 네트워크를 통해 접근하면 일부 분석 데이터를 몰래 볼 수 있는 문제입니다. 데이터를 변경하거나 시스템을 멈추게 하는 것은 아니지만 기밀성이 침해될 수 있습니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Analytics (component: Visual Analyzer). The supported version that is affected is 26.01.0.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Business Intelligence Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized read access to a subset of Oracle Business Intelligence Enterprise Edition accessible data. CVSS 3.1 Base Score 4.3 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N).
📍 영향받는 시스템
Oracle Business Intelligence Enterprise Edition (Oracle Analytics, Visual Analyzer) 26.01.0.0.0 버전
⚔️ 공격 벡터
네트워크(HTTP)를 통해 낮은 권한 계정으로 접근한 뒤 Visual Analyzer 기능을 악용하여 접근 가능한 데이터를 무단 조회
🛡️ 대응 방법
Oracle 공식 보안 패치(Critical Patch Update)를 확인하여 최신 버전으로 업데이트하고 Visual Analyzer 접근 권한을 최소화
🔧 검증 코드
출력된 버전 정보가 26.01.0.0.0이면 취약하며, 최신 패치 적용 버전과 비교해 패치 여부를 판단합니다. 명령이 실패하면 설치 경로($ORACLE_HOME)를 먼저 확인해야 합니다.
ls $ORACLE_HOME/bi/bin/ 2>/dev/null && $ORACLE_HOME/bi/bin/bi-version 2>/dev/null || echo 'OBIEE 설치 경로를 확인하세요'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition