快出海  > 出海资讯  >  甲骨文花了6个月修补Fusion Middleware的重大漏洞

甲骨文花了6个月修补Fusion Middleware的重大漏洞

来源:十轮网
作者:十轮网
时间:2022-06-28
两名安全研究人员披露甲骨文Fusion Middleware的2项重大漏洞,并指后者花了6个月才修复,动作太慢。

0328-oracle_booth-1-960_0.jpg

两名安全研究人员披露甲骨文Fusion Middleware的2项重大漏洞,并指后者花了6个月才修复,动作太慢。

VNG公司的PeterJson和VNPT的Nguyen Jang去年10月发现Fusion Middleware 2项漏洞,分别为影响Oracle JDeveloper内ADF Faces framework的前远程程序代码执行(pre-auth RCE)漏洞,以及影响Oracle Access Manager(OAM)的服务器端请求伪造(Server Side Request Forgery,SSRF)漏洞。

研究人员当月已向甲骨文披露2漏洞,但甲骨文今年才修补,因此漏洞皆列为2022年。SSRF漏洞命名为CVE-2022-21497,甲骨文今年1月先以第1季安全更新修补OAM中。而RCE漏洞则被命名CVE-2022-21445,但是要等到4月的第2季安全更新修补。距离当初通报已是6个月的事,也超出了一般标准的90天,他们认为这家软件巨人的动作太迟缓。

ADF Faces框架包括超过150个支持Ajax的JavaServer Faces(JSF)组件及开发框架,可用于在Fusion Middleware上开发应用程序。研究人员最初在测试攻击中证实Oracle BI(Oracle Business Intelligence)的前远程程序代码执行(pre-auth RCE)漏洞,该漏洞可让未经授权的攻击者经由HTTP连接调用开采,最严重可接管JDeveloper。这项漏洞风险值达9.8。

但研究人员最后发现,该漏洞还影响多个甲骨文产品,包括Oracle Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management。此外,而且任何以ADF Faces framework开发的网站也会受影响,这意味包括许多甲骨文线上系统及Oracle Cloud Infrastructure。

Fusion Middleware的Oracle Access Manager(OAM)的服务器端请求伪造(Server Side Request Forgery,SSRF)漏洞则是Jang找到。OAM是单一签入(SSO)组件。这漏洞可和CVE-2022-21497串联起来,在OAM完成远程程序代码执行,让未经授权的攻击者可经由Oracle Web Services/OAM添加、删除或修改资料,风险值为8.1。研究人员强调这十分严重,因为VMWare及高通都使用OAM的SSO,且甲骨文许多Oracle线上服务也使用OAM作为SSO。

ADF framework及OAM两漏洞皆影响Oracle Fusion Middleware 12.2.1.3.0和12.2.1.4.0版。尽管研究人员批评甲骨文动作太慢,但甲骨文已发布更新版,研究人员也呼吁企业用户尽快安装最新版本。

↟点击阅读全文
版权说明

本文内容来自于十轮网,本站不拥有所有权,不承担相关法律责任。文章内容系作者个人观点,不代表快出海对观点赞同或支持。如有侵权,请联系管理员(zzx@kchuhai.com)删除!

相关文章
独立站卖家如何选择最合适的发货方式?
独立站卖家如何选择最合适的发货方式?
做为独立站卖家,与入驻第三方电商平台的卖家在物流上的不同在于需要“自发货”。
连连跨境支付
21小时前
跨境卖家必知:独立站怎样设置弹窗功能?
跨境卖家必知:独立站怎样设置弹窗功能?
好的弹出窗口设置可以促进独立站的转化率。在网络时代,每个人都被各种网络信息所吸引,基本上不会完全阅读长网络信息,所以有必要在弹出窗口中推送引人注目的微信息。以下就和卖家们分享独立站怎样设置弹窗功能。
连连跨境支付
21小时前
打开阿联酋电商市场的新方式,你知道吗?
打开阿联酋电商市场的新方式,你知道吗?
阿联酋是全球第24大电子商务市场,2021年的电商销售额同比增加了36%,达90亿美元,领先于越南和奥地利。
中东跨境电商汇
22小时前
新人怎么做跨境电商?跨境电商运营经验分享
新人怎么做跨境电商?跨境电商运营经验分享
随着互联网的发展,国内外的商业贸易越来越流畅,直播电商的火爆也带动着一大批相关的产业链发展,其中跨境电商就是个风口,越来越多的卖家涌入带动行业的高速增长。
跨境营销中心
23小时前
美国大型科技股回神!带动大华元宇宙科技50 ETF走势
美国大型科技股回神!带动大华元宇宙科技50 ETF走势
年初以来全球市场受到通胀与升息疑虑影响,出现大幅修正,投资人在上半年的观望后,期待能有逢低布局的机会,大华元宇宙科技50 ETF经理人郑翰纮表示,根据过去经验,大型股因股价恢复力较好,当市场震荡时相对受到投资人的青睐。
十轮网
23小时前
扫描关注获取更多 出海资讯 的相关信息
扫码登录
打开扫一扫, 关注公众号后查看更多
加载中
二维码已失效 请重试
刷新
账号登录/注册
小程序
公众号
商务合作
投稿采访
出海管家