现漏洞 甲骨文 Access Manager 黑客连管理员账号都能霸占 (漏 甲骨文)

文章编号:45772 资讯动态 2024-12-09 漏洞甲骨文冒充用户

甲骨文 Access Manager 现漏洞,黑客连管理员都能霸占

雷锋网消息,据外媒美国时间5月3日报道,来自 SEC 漏洞咨询实验室安全研究人员 Wolfgang Ettlinger在甲骨文 Access Manager(以下简称 OAM)上发现了一个安全漏洞,黑客可以利用它远程绕过身份验证程序,接管任何用户的账号。如果黑客愿意,他们连管理员的账号都能霸占。

OAM 不但支持多重身份验证(MFA),还能实现 Web 单点登录(SSO)。此外,会话管理、标准 SAML 联盟和 OAuth 等安全防护一应俱全,方便用户安全的访问移动应用和外部云存储。 不过,这样严密的防护依然存在漏洞。

这次发现的漏洞代号为 CVE-2018-2879,与 OAM 使用的一种有缺陷的密码格式有关。

“OAM 是甲骨文 Fusion MIDdleware 的组成部分之一,后者负责掌控各种类型网络应用的认证。”SEC 的 Ettlinger解释道。

“我们会通过展示证明加密实现的小特性是如何对产品安全造成实际影响的。 只要利用了这一漏洞,我们就能制作任意的身份验证令牌来扮演任何用户,同时还能有效的破坏 OAM 的主要功能 ”Ettlinger 说道。

Ettlinger 解释称,攻击者可以利用该漏洞找到 OAM 处理加密信息的弱点,诱使该软件意外透露相关信息,随后利用这些信息冒充其他用户。

攻击者能组织一场填充攻击,使甲骨文披露账户的授权 Cookie。随后它就能制作出能生成有效登陆密匙的脚本,想冒充谁就冒充谁。

“在研究中我们发现,OAM 用到的密码格式有个严重的漏洞,只要稍加利用,我们就能制作出会话令牌。拿这个令牌去骗 WebGate 一骗一个准,想接入受保护的资源简直易如反掌。”Ettlinger 解释道。“更可怕的是,会话 Cookie 的生成过程让我们能冒充任意用户名搞破坏。”

雷锋网了解到, OAM 11g 和 12c 版本都受到了该漏洞的影响。

Ettlinger 去年 11 月就将该漏洞报告给了甲骨文,不过 IT 巨头在今年 4 月的补丁更新中才解决了在这一问题。如果你也在用 OAM,还是抓紧时间打补丁来封堵漏洞吧。

雷锋网Via. Security Affairs

原创文章,未经授权禁止转载。详情见 转载须知 。

全局中部横幅
网站测速

国内最专业最权威的实时网站测速、服务器监控、网络监控、IDC质量评测、PING,DNS,HTTP,CDN测试网站速度监控,遍及国内各省和国外的监测点,包括电信、网通、联通、移动、长城宽带、教育网等线路,测试网站在全国各地和海外的打开速度,全面的报表功能、对比功能、地图展示、柱型图展示等专业测速网站

视频号小店

视频号小店,无需开发,免费开店。

程力专用汽车股份有限公司销售十七分公司

程力专用汽车股份有限公司销售十七分公司

酒店设备回收

恒林(广州)再生资源回收有限公司提供酒店回收,空调回收,电脑回收,库存物资回收,稀有金属回收,有色金属回收,医疗设备回收,实验设备回收,旧设备回收,电子设备回收各种废品回收等,可提供上门回收服务,欢迎来电咨询。

海致科技BDP

海致BDP商业数据平台作为国内企业大数据服务和国内敏捷型BI领跑者,旨在给企业提供一站式的数据管理和分析平台,凭着多数据源接入、强大的计算性能、简单高效的数据可视化分析、完善的权限管理、超高的性价比、完善的服务等优势受到客户的一致好评,目前已为数千家企业提供了一站式云端数据分析服务,帮助企业深挖数据价值,轻松实现数据化管理,提升经营效益。

定制不锈钢液压快速接头厂家

纳斯特17年专业快速接头厂家,致力于:快速接头/不锈钢快速接头/液压快速接头/定制快速接头/快换接头的研发与生产,所生产的液压快速接头、不锈钢快速接头、快换接头,品质优,寿命长,快速接头厂家咨询热线:19942061105

合肥市慈善总会

合肥市慈善总会成立于2003年8月,本会定名为合肥市慈善协会(英文名HeFeiCharityAssociation,缩写HFCA)。本会是由关心热爱慈善事业的公民、法人及其他社会组织自愿参加的全市性、非营利性公益社会组织,是依法登记注册、具有独立法人资格的联合性社团。

仕诺涂料,上海仕诺涂料有限公司,仕诺涂料,上海柏伦涂料有限公司

仕诺涂料长期致力于建筑漆和涂料色浆在中国市场的广泛应用和发展,重视自主知识产权的高新产品的研发,并以先进的制漆工艺和崇高的企业声誉闻名业界。

集翔网

集翔网是一家聚焦于亿元级企业的产融结合加速服务平台,为企业提供资本、人才、市场、创新、合规、招商六大全价值加速服务,陪跑企业高速增长高质量发展。集翔网企业加速平台通过“产业+投资+平台”的形式构建生态链打造一站式加速服务系统,为电商、农业、科技、健康四大领域企业加速发展。

PP管

山东蓝海环保科技有限公司主营PP管,PP风管,聚丙烯风管,塑料通风管道,我厂承接各种PP通风工程,设计,制造,安装,售后为一体,各种PP管件及深加工产品.

网游/手游/游戏账号交易平台源码

蓝风游戏账号交易平台源码,是聊城百川网络技术团队打造的专业的游戏账号交易平台。系统历经5年打磨,积累了数十家公司运营实战经验。系统功能强大,安全可靠。首创的代理商分站模式实现了多团队资源共享,支持无限子站加盟,可以让您以最少的付出换取最大的回报!

西安雁塔友好医院

西安雁塔友好医院【妇科炎症、无痛人流】二十余年专注妇科疾病,专注女性健康,擅长对无痛人流、妇科炎症、乳腺疾病、妇科肿瘤、宫颈疾病等疾病的研究与治疗,医院地址:陕西省西安市吉祥路21号(吉祥村什字西100米北)

全局底部横幅