甲骨文Access Manager爆發漏洞,駭客連管理員帳號都能接手

評論
評論

原文來自合作媒體 雷鋒網 ,INSIDE 授權轉載。

據外媒美國時間 5 月 3 日報導,來自 SEC 漏洞諮詢實驗室安全研究人員 Wolfgang Ettlinger 在甲骨文 Access Manager(以下簡稱 OAM)上發現了一個安全漏洞,駭客可以利用它遠端繞過身份驗證程序,接管任何使用者的帳號。如果駭客願意,他們連管理員的帳號都能霸占。

OAM 不但支持多重身份驗證(MFA),還能實現 Web 單一登錄(SSO)。此外,會話管理、標準 SAML 聯盟和 OAuth 等安全防護一應俱全,方便使用者安全的訪問移動應用和外部雲端儲存。不過,這樣嚴密的防護依然存在漏洞。

這次發現的漏洞代號為 CVE-2018-2879,與 OAM 使用的一種有缺陷的密碼格式有關。

「OAM 是甲骨文 Fusion Middleware 的組成部分之一,後者負責掌控各種類型網絡應用的認證。」SEC  的 Ettlinger 解釋道。

「我們會通過演示證明加密實現的小特性是如何對產品安全造成實際影響的。只要利用了這一漏洞,我們就能製作任意的身份驗證令牌來扮演任何使用者,同時還能有效的破壞 OAM 的主要功能。」Ettlinger 說道。

Ettlinger 解釋稱,攻擊者可以利用該漏洞找到 OAM 處理加密訊息的弱點,誘使該軟件意外透露相關訊息,隨後利用這些訊息冒充其他使用者。

攻擊者能組織一場填充攻擊,使甲骨文披露帳戶的授權 Cookie。隨後它就能製作出能生成有效登陸密匙的腳本,想冒充誰就冒充誰。

「在研究中我們發現,OAM 用到的密碼格式有個嚴重的漏洞,只要稍加利用,我們就能製作出會話令牌。拿這個令牌去騙 WebGate 一騙一個準,想接入受保護的資源簡直易如反掌。」Ettlinger 解釋道。「更可怕的是,會話 Cookie 的生成過程讓我們能冒充任意使用者名搞破壞。」

OAM 11g 和 12c 版本都受到了該漏洞的影響。

Ettlinger 去年 11 月就將該漏洞報告給了甲骨文,不過 IT 巨頭在今年 4 月的補丁更新中才解決了在這一問題。如果你也在用 OAM,還是抓緊時間打補丁來封堵漏洞吧。


精選熱門好工作

Video/Image Processing Software Engineer

PicCollage 拼貼趣
臺北市.台灣

獎勵 NT$20,000

行銷協理

數字銀河股份有限公司
臺北市.台灣

獎勵 NT$20,000

產品經理 (PM, PO)

VeryBuy非常勸敗
臺北市.台灣

獎勵 NT$20,000

評論