SecBoard
Zurück zur Übersicht
Mittel40 / 100Konfidenz: Mittel
CVSS9.1EPSS94 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Installieren Sie umgehend die von Oracle bereitgestellten Sicherheitsupdates, wie im Critical Patch Update vom Januar 2025 beschrieben.

▸Herleitung der Bewertung(3)

Wie der Wert zustande kommt

  • Hoechster CVSS-Basiswert 9.1+16
  • EPSS 93.5 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+14
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2023-3961, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 20 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2023-2976, CVE-2023-4782, CVE-2024-21245, CVE-2024-27280, CVE-2024-27983, CVE-2024-29041, CVE-2025-21507, CVE-2025-21508, CVE-2025-21509, CVE-2025-21510, CVE-2025-21511, CVE-2025-21512, CVE-2025-21513, CVE-2025-21514, CVE-2025-21515, CVE-2025-21517, CVE-2025-21524, CVE-2025-21527, CVE-2025-21538, CVE-2025-21552

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

[UPDATE] [hoch] Oracle JD Edwards: Mehrere Schwachstellen

CERT-Bund·
Originalartikel lesen bei CERT-Bund

Mehrere kritische Schwachstellen in Oracle JD Edwards ermöglichen es Angreifern, Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden. Betroffen sind Unternehmen, die Oracle JD Edwards auf Linux, UNIX oder Windows nutzen, insbesondere die Versionen 9.2.9.0 und 9.2.9.2 sowie frühere. Es wird dringend empfohlen, die von Oracle bereitgestellten Sicherheitsupdates umgehend zu installieren.

SecBoard-Einordnung

Diese Schwachstellen können die Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensdaten und -systemen erheblich beeinträchtigen, was zu Betriebsunterbrechungen oder Datenlecks führen kann.

Realistisch schlimmster Fall: Ein Angreifer könnte vollständigen Zugriff auf die betroffenen Oracle JD Edwards-Systeme erlangen, sensible Daten exfiltrieren, Systemkonfigurationen manipulieren oder den Dienst vollständig unterbrechen.

Im erfassten Bestand

  • ▸CVE-2023-48795 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 23

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2023-3961
CVSS
9.1 · CRITICAL
EPSS
2.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
secalert@redhat.com
CVE-2023-6129
CVSS
6.5 · MEDIUM
EPSS
2.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
openssl-security@openssl.org
CVE-2023-48795
CVSS
5.9 · MEDIUM
EPSS
93.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Integrität
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2023-2976

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2023-4782

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2024-21245

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2024-27280

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2024-27983

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2024-29041

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2025-21507

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2025-21508

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2025-21509

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Unternehmen, die Oracle JD Edwards auf Linux, UNIX oder Windows nutzen, insbesondere die Versionen 9.2.9.0 und 9.2.9.2 sowie frühere.

Hersteller

BitviseFedoraprojectFilezilla ProjectLancom SystemsLibsshNet SSHOpenbsdOpensslPanicProftpdPuttyRedhatRoumenpetrovSSH2 ProjectSambaVandykeWinscp

Produkte

Enterprise LinuxEnterprise Linux EusFedoraFilezilla ClientLanconfigLcosLcos FXLcos LXLcos SX2 VersionenLibsshNet SSHNova+13 weitere
▸ CPE-Rohbezeichner anzeigen (27)
  • cpe:2.3:a:bitvise:ssh_client:*:*:*:*:*:*:*:*
  • cpe:2.3:a:bitvise:ssh_server:*:*:*:*:*:*:*:*
  • cpe:2.3:a:filezilla-project:filezilla_client:*:*:*:*:*:*:*:*
  • cpe:2.3:a:libssh:libssh:*:*:*:*:*:*:*:*
  • cpe:2.3:a:net-ssh:net-ssh:7.2.0:*:*:*:*:ruby:*:*
  • cpe:2.3:a:openbsd:openssh:*:*:*:*:*:*:*:*
  • cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:*
  • cpe:2.3:a:openssl:openssl:3.2.0:*:*:*:*:*:*:*
  • cpe:2.3:a:panic:nova:*:*:*:*:*:*:*:*
  • cpe:2.3:a:panic:transmit_5:*:*:*:*:*:*:*:*
  • cpe:2.3:a:proftpd:proftpd:*:*:*:*:*:*:*:*
  • cpe:2.3:a:putty:putty:*:*:*:*:*:*:*:*
  • cpe:2.3:a:redhat:storage:3.0:*:*:*:*:*:*:*
  • cpe:2.3:a:roumenpetrov:pkixssh:*:*:*:*:*:*:*:*
  • cpe:2.3:a:samba:samba:*:*:*:*:*:*:*:*
  • cpe:2.3:a:ssh2_project:ssh2:*:*:*:*:*:node.js:*:*
  • cpe:2.3:a:vandyke:securecrt:*:*:*:*:*:*:*:*
  • cpe:2.3:a:winscp:winscp:*:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:39:*:*:*:*:*:*:*
  • cpe:2.3:o:lancom-systems:lanconfig:-:*:*:*:*:*:*:*
  • cpe:2.3:o:lancom-systems:lcos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:lancom-systems:lcos_fx:-:*:*:*:*:*:*:*
  • cpe:2.3:o:lancom-systems:lcos_lx:-:*:*:*:*:*:*:*
  • cpe:2.3:o:lancom-systems:lcos_sx:4.20:*:*:*:*:*:*:*
  • cpe:2.3:o:lancom-systems:lcos_sx:5.20:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_eus:9.0:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob Oracle JD Edwards Versionen 9.2.9.0, 9.2.9.2 oder frühere Versionen in Ihrer Umgebung auf Linux, UNIX oder Windows installiert sind.
  • ▸Stellen Sie sicher, dass alle Oracle JD Edwards-Instanzen die neuesten Sicherheitsupdates von Oracle angewendet haben.
▸ 1 weitere
  • ▸Überwachen Sie Systemprotokolle auf ungewöhnliche Zugriffe oder Aktivitäten im Zusammenhang mit Oracle JD Edwards-Diensten.

Offene Punkte

3
▸ anzeigen
  • ▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
  • ▸Details zu den genauen Angriffsvektoren oder der Komplexität der Ausnutzung sind nicht spezifiziert.
  • ▸Es wird nicht angegeben, ob die Schwachstellen bereits aktiv ausgenutzt werden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Möglich
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Windows extern erreichbar?
  • Haben wir Oracle extern erreichbar?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Mehrere kritische Schwachstellen in Oracle JD Edwards ermöglichen es Angreifern...“

T1485Data Destructionzugeordnet

„...Integrität und Verfügbarkeit zu gefährden.“

T1490Inhibit System Recoveryzugeordnet

„...Integrität und Verfügbarkeit zu gefährden.“

T1565Data Manipulationzugeordnet

„...Integrität und Verfügbarkeit zu gefährden.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen
hoch
Vollständigen Artikel lesen bei CERT-Bund