现漏洞 甲骨文 Access Manager 黑客连管理员账号都能霸占 (漏 甲骨文)
雷锋网消息，据外媒美国时间5月3日报道，来自 SEC 漏洞咨询实验室安全研究人员 Wolfgang Ettlinger在甲骨文 Access Manager（以下简称 OAM）上发现了一个安全漏洞，黑客可以利用它远程绕过身份验证程序，接管任何用户的账号。如果黑客愿意，他们连管理员的账号都能霸占。
OAM 不但支持多重身份验证（MFA），还能实现 Web 单点登录（SSO）。此外，会话管理、标准 SAML 联盟和 OAuth 等安全防护一应俱全，方便用户安全的访问移动应用和外部云存储。 不过，这样严密的防护依然存在漏洞。
这次发现的漏洞代号为 CVE-2018-2879，与 OAM 使用的一种有缺陷的密码格式有关。
“OAM 是甲骨文 Fusion MIDdleware 的组成部分之一，后者负责掌控各种类型网络应用的认证。”SEC 的 Ettlinger解释道。
“我们会通过展示证明加密实现的小特性是如何对产品安全造成实际影响的。 只要利用了这一漏洞，我们就能制作任意的身份验证令牌来扮演任何用户，同时还能有效的破坏 OAM 的主要功能。 ”Ettlinger 说道。
Ettlinger 解释称，攻击者可以利用该漏洞找到 OAM 处理加密信息的弱点，诱使该软件意外透露相关信息，随后利用这些信息冒充其他用户。
攻击者能组织一场填充攻击，使甲骨文披露账户的授权 Cookie。随后它就能制作出能生成有效登陆密匙的脚本，想冒充谁就冒充谁。
“在研究中我们发现，OAM 用到的密码格式有个严重的漏洞，只要稍加利用，我们就能制作出会话令牌。拿这个令牌去骗 WebGate 一骗一个准，想接入受保护的资源简直易如反掌。”Ettlinger 解释道。“更可怕的是，会话 Cookie 的生成过程让我们能冒充任意用户名搞破坏。”
雷锋网了解到， OAM 11g 和 12c 版本都受到了该漏洞的影响。
Ettlinger 去年 11 月就将该漏洞报告给了甲骨文，不过 IT 巨头在今年 4 月的补丁更新中才解决了在这一问题。如果你也在用 OAM，还是抓紧时间打补丁来封堵漏洞吧。
雷锋网Via. Security Affairs
原创文章，未经授权禁止转载。详情见 转载须知 。
国内最专业最权威的实时网站测速、服务器监控、网络监控、IDC质量评测、PING,DNS,HTTP,CDN测试网站速度监控，遍及国内各省和国外的监测点，包括电信、网通、联通、移动、长城宽带、教育网等线路，测试网站在全国各地和海外的打开速度，全面的报表功能、对比功能、地图展示、柱型图展示等专业测速网站
视频号小店，无需开发，免费开店。
程力专用汽车股份有限公司销售十七分公司
恒林（广州）再生资源回收有限公司提供酒店回收,空调回收,电脑回收,库存物资回收,稀有金属回收,有色金属回收,医疗设备回收,实验设备回收,旧设备回收,电子设备回收各种废品回收等，可提供上门回收服务,欢迎来电咨询。
海致BDP商业数据平台作为国内企业大数据服务和国内敏捷型BI领跑者，旨在给企业提供一站式的数据管理和分析平台，凭着多数据源接入、强大的计算性能、简单高效的数据可视化分析、完善的权限管理、超高的性价比、完善的服务等优势受到客户的一致好评，目前已为数千家企业提供了一站式云端数据分析服务，帮助企业深挖数据价值，轻松实现数据化管理，提升经营效益。
纳斯特17年专业快速接头厂家，致力于：快速接头/不锈钢快速接头/液压快速接头/定制快速接头/快换接头的研发与生产，所生产的液压快速接头、不锈钢快速接头、快换接头，品质优，寿命长，快速接头厂家咨询热线：19942061105
合肥市慈善总会成立于2003年8月，本会定名为合肥市慈善协会（英文名HeFeiCharityAssociation，缩写HFCA）。本会是由关心热爱慈善事业的公民、法人及其他社会组织自愿参加的全市性、非营利性公益社会组织，是依法登记注册、具有独立法人资格的联合性社团。
仕诺涂料长期致力于建筑漆和涂料色浆在中国市场的广泛应用和发展，重视自主知识产权的高新产品的研发，并以先进的制漆工艺和崇高的企业声誉闻名业界。
集翔网是一家聚焦于亿元级企业的产融结合加速服务平台，为企业提供资本、人才、市场、创新、合规、招商六大全价值加速服务，陪跑企业高速增长高质量发展。集翔网企业加速平台通过“产业+投资+平台”的形式构建生态链打造一站式加速服务系统，为电商、农业、科技、健康四大领域企业加速发展。
山东蓝海环保科技有限公司主营PP管,PP风管,聚丙烯风管,塑料通风管道,我厂承接各种PP通风工程,设计,制造,安装,售后为一体,各种PP管件及深加工产品.
蓝风游戏账号交易平台源码，是聊城百川网络技术团队打造的专业的游戏账号交易平台。系统历经5年打磨，积累了数十家公司运营实战经验。系统功能强大，安全可靠。首创的代理商分站模式实现了多团队资源共享，支持无限子站加盟，可以让您以最少的付出换取最大的回报！
西安雁塔友好医院【妇科炎症、无痛人流】二十余年专注妇科疾病，专注女性健康，擅长对无痛人流、妇科炎症、乳腺疾病、妇科肿瘤、宫颈疾病等疾病的研究与治疗，医院地址：陕西省西安市吉祥路21号(吉祥村什字西100米北)
拼多多被曝现重大BUG后，官方回应1月20日，拼多多被曝出现重大BUG，用户可领100元无门槛券，于是，大批用户开始‘薅羊毛，，一晚上200多亿都是话费充值，拼多多新浪官方微博随即进行声明，1月20日晨，有黑灰产团伙通过一个过期的优惠券漏洞盗取数千万元平台优惠券，进行不正当牟利，针对此行为，平台已第一时间修复漏洞，并正对涉事订单进行...。
Facebook为入华不惜，自宫，，，纽约时报，称其正秘密研发内容审查工具@听雨阁杂记，阻止不了敏感字词的，人类的创造力是无穷的，从你妈到尼玛到你妹到泥煤……屏蔽再多也能找出替代词，与此同时，阉割版的FB在中国算什么玩意，进入国内又如何?审查内容能不让我们看国际上的内容?如果不让看，那就是中国版脸书用什么去吸引微博群体了，@我不是大橙...。
今年6月8日，微软在安全更新中修复了一个长时间存在的打印机服务WindowsPrintSpooler本地提权漏洞，漏洞编号为，CVE，2021，1675，普通用户可以利用此漏洞以管理员身份在运行打印后台处理程序服务的系统上执行代码，然而近日安全人员对此安全更新进行验证时，发现了另外一个更为严重的远程攻击漏洞，攻击者可以使用一个低权限用...。
苹果联合LG研发3D拍摄功能，为iPhone8开启AR模式，据外媒报道，苹果正在与LG旗下的材料及组件公司LGInnotek合作，共同研发一款支持3D摄影的全新双摄像头模组，并有可能将其应用于明年的新款iPhone，知情人士称，苹果正在研究如何将自家的3D摄像头技术应用于LGInnotek生产的智能手机摄像头模组，并且，由于LGIn...。
2月8日，福布斯发布2023年全球区块链50强榜单，蚂蚁、百度、建行等6家中国公司系数上榜，其中也不乏Alphabet、Meta、NBA、甲骨文、三星等明星公司，全球区块链50强，是由福布斯评选的年度重磅榜单，已经连续推出5年，在行业内有着较高的知名度和权威性，从今年的评选结果来看，全球有6家公司连续5年入选，美国证券存托与清算公司...。
雷锋网按，一直以来，安全无毒，都是Mac生态的一大卖点，但现在这里可是越来越不安全了，最近，MacAppStore上排名第一的付费工具应用AdwareDoctor就被抓包了，它居然偷偷记录起了用户的浏览器历史，而且还将这些私密数据发到了一台位于中国的服务器上，安全研究专家PatrickWardle表示，自己在一个月前向苹果通报了这一问...。
要闻提示1.曝苹果将对字节腾讯，下狠手，不堵上支付漏洞，就拒绝微信抖音更新上架2.字节跳动新加坡中毒员工菜单曝光，疑似来自新加坡云海肴和莆田两家供应商，涉事餐厅暂停营业3.小红书11周年信承认大公司病，官架子大、决策拖沓，需重新出发4.李国庆回忆当当大战亚马逊，他们本志在必得、却灰溜溜退出中国5.董明珠，格力已研发出美容仪，用一个星...。
要闻提示1.网传建行将进行大规模降薪，总行降薪至少10%，子公司和分行降幅大于总行，高级官员将大幅削减工资2.周鸿祎，一个漏洞最贵可卖到三亿，360挖来的漏洞都贡献给了国家3.知名企业观复文化突现大规模裁员，被指单方解约80余名员工，更换公司法人4.，爱奇艺限制投屏案，一审落槌，补偿原告41天黄金会员VIP时长5.28000人不给钱就...。
雷锋网按，本文作者铁流，雷锋网首发文章，前不久，永恒之蓝席卷全球，已经有90个国家遭到攻击，国内教育网是遭到攻击的重灾区，在6月27日，新的病毒，Petrwrap，由乌克兰和俄罗斯开始爆发，逐渐蔓延到欧洲多国，据专家介绍，，Petrwrap，病毒通过Windows漏洞进行传播，同时会感染局域网中的其它电脑，电脑感染勒索病毒后，会被加密...。
美国国防部近日发布了外界期待已久的最终提案——其100亿美元的JEDICloud采购计划，这是包括亚马逊、微软和甲骨文在内的竞标者所期待已久的机会，，即五角大楼的联合企业防御基础设施云计算解决方案合同，该合同要求一家公司帮助五角大楼在更广泛的范围内使用云计算，构建一个安全的信息环境，跨越国内战术的全球战术优势，并能迅速获得计算和存储能...。
雷锋网消息，据外媒美国时间5月3日报道，来自SEC漏洞咨询实验室安全研究人员WolfgangEttlinger在甲骨文AccessManager，以下简称OAM，上发现了一个安全漏洞，黑客可以利用它远程绕过身份验证程序，接管任何用户的账号，如果黑客愿意，他们连管理员的账号都能霸占，OAM不但支持多重身份验证，MFA，，还能实现Web单...。
雷锋网AI金融评论报道，作为全球知名的数据库服务器提供商，甲骨文，Oracle，在2013年超越IBM，成为全世界第二大的企业软件公司，而在区块链行业，有一家专注于用区块链技术重构数据库的公司，它的创始人在和雷锋网AI金融评论的专访中表示，要做区块链行业的甲骨文，这家来自新加坡的区块链初创企业Bluzelle，在去年八月获得150万美...。
谷歌也知道大家定会这样疑惑，就干脆在这篇，IntroducingGoogleAI，的开头，调皮，了一番，以下是谷歌昨日在原GoogleResearchBlog，现GoogleAIBlog，发布的这篇，IntroducingGoogleAI，内容，雷锋网AI科技将其内容编译如下，在过去的几年里，谷歌一直未忘记，让AI为所有人可用，的承诺...。
雷锋网6月25日消息，上月有媒体曝光了英特尔的新品路线图，其中采用10nm工艺制程的Cannonlake架构处理器将会在2016年第三季度发布，就在业界对这款处理器充满期待的时候，英特尔却放出了Cannonlake将无限期跳票的消息，根据英特尔的计划，代替Skylake的将是同为14nm的KabyLake，从英特尔内部的资料来看这两款...。
雷锋网AI科技评论按，由CCF主办的CNCC2019学术会议于10.17—10.19日在苏州成功举办，本届大会以，智能，引领社会发展，为主题，进行了15场特邀报告，3场大会主题论坛、78场技术论坛、22场特色活动，1000家机构代表、8000余人参展参会，在大会第三天举办的，计算机视觉技术赋能智慧城市，分论坛中商汤科技副总裁劳世竑发表...。
伴随着社会经济发展的趋势和大家生活水平的提升，跟少年儿童有关的消费商品有非常好的发展前途，但是对比早已烂大街的少年儿童母婴用品店、儿童服装店而言，玩具店行业指数看来，发展速率更快一些，因此，这一制造行业吸引了众多加盟者的目光，那么，开儿童玩具网店怎么样，开儿童玩具网店怎么样，根据小编了解到，开儿童玩具网店是一个不错的选择，要想运营好店...。
Serverless无服务器架构是一个新的事物，从出现到现在也不过两年，目前也没有一个公认的权威定义，根据亚马逊AWS官网的定义，无服务器架构是基于互联网的系统，其中应用开发不使用常规的服务进程，相反，它们仅依赖于第三方服务，例如AWSLambda服务，，客户端逻辑和服务托管远程过程调用的组合，所谓，无服务器，，也不是真的脱离了物理上...。
