Tinexta Cyber scopre una vulnerabilità critica da 9.8 di Score su Oracle BI Publisher

Redazione RHC : 6 Maggio 2024 15:33

Durante un’attività condotta dall’Offensive Team Yoroi di Tinexta Cyber, Davide Virruso (Offensive security Expert Yoroi di Tinexta Cyber) ha rilevato diverse vulnerabilità sul prodotto Oracle BI Publisher. Tre di queste sono state incluse nella Oracle Critical Patch Update di aprile.

Queste vulnerabilità espongono le istanze di Oracle Bi Publisher a rischi di esecuzione di codice remoto non autenticato, quindi consentendo potenzialmente a terze parti di compromettere la sicurezza del sistema senza la necessità di autenticazione preliminare.

Oracle BI Publisher è una piattaforma software progettata per la creazione, gestione e distribuzione di report e documenti personalizzati. Questo strumento è essenziale per ottimizzare la gestione delle informazioni aziendali, migliorando l’efficienza operativa e fornendo insight strategici fondamentali per il processo decisionale.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Per via della sua natura risultano essere diverse le istanze esposte on the wild (su internet), rendendolo un ottimo punto di ingresso per un attaccante che cerca di ottenere una network foothold. Le vulnerabilità individuate interessano le versioni 7.0.0.0 e 12.2.1.4.0 di Oracle BI Publisher. Una delle vulnerabilità rilevate è classificata come critica, con score CVSSv3.1: 9.8 ed identificata con: CVE-2024-21082.

Questa vulnerabilità riguarda il bypass dell’autenticazione attraverso lo sfruttamento di una falla all’interno della webservice: XMLPService. Tale vulnerabilità consente l’acquisizione dei token di sessione degli utenti di Oracle BI Publisher, conoscendone solamente l’indirizzo e-mail. Ciò permette ad un attaccante remoto e non autenticato di assumere il controllo del sistema, potenzialmente anche con privilegi amministrativi.

L’ottenimento dei token di sessione non solo compromette direttamente la confidenzialità, integrità e disponibilità dei dati, ma apre anche la porta all’exploit della CVE-2024-21083. Quest’ultima, utilizzando la webservice “PluginService“, consente l’esecuzione di codice remoto sull’istanza coinvolta, tramite la componente “ScriptEngine” del pacchetto javax.script.

Infine, una vulnerabilità con score: 5.8 permette a un utente non autenticato di causare l’esecuzione di richieste arbitrarie da parte del server mediante l’utilizzo di diversi protocolli come, ftp://, http://, file://. Sebbene questa falla possa avere un impatto limitato su Oracle BI Publisher stesso, potrebbe comportare conseguenze gravi su altri prodotti, modificando l’ambito del rischio.

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni presenti all’interno della CPU di aprile: https://www.oracle.com/security-alerts/cpuapr2024.html.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli