Multiple vulnerabilities in Oracle Enterprise Manager Base Platform versions 13.5 and 24.1 allow an attacker with low or no privileges and network access via HTTP/HTTPS to achieve full platform compromise, including unauthorized data modification, denial-of-service, or complete system takeover, with some attacks requiring no authentication. Additionally, an attacker with SSH access can also achieve full system compromise, and these vulnerabilities may impact other integrated Oracle products. A separate vulnerability in Apache Log4j's JsonTemplateLayout up to version 2.25.3 can cause malformed JSON output, potentially disrupting downstream log processing systems.
Oracle heeft meerdere kwetsbaarheden verholpen in Oracle Enterprise Manager versies 13.5 en 24.1. De kwetsbaarheden in Oracle Enterprise Manager Base Platform versies 13.5 en 24.1 maken het mogelijk voor een aanvaller met lage of geen privileges en netwerktoegang via HTTP of HTTPS om volledige controle over het platform te verkrijgen. Sommige kwetsbaarheden vereisen geen authenticatie en kunnen leiden tot onbevoegde datamodificatie, denial-of-service, of volledige systeemcompromittering. Daarnaast kan een aanvaller met SSH-toegang ook volledige systeemcompromittering bereiken. De kwetsbaarheden kunnen ook impact hebben op andere Oracle-producten die geïntegreerd zijn met het platform. Verder is er een kwetsbaarheid in Apache Log4j's JsonTemplateLayout tot versie 2.25.3 die onjuiste JSON-output genereert bij het serialiseren van niet-eindige floating-point waarden, wat kan leiden tot verstoring van downstream logverwerkende systemen wanneer MapMessages worden gelogd.