Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Durante un’attività condotta dall’Offensive Team Yoroi di Tinexta Cyber, Davide Virruso (Offensive security Expert Yoroi di Tinexta Cyber) ha rilevato diverse vulnerabilità sul prodotto Oracle BI Publisher. Tre di queste sono state incluse nella Oracle Critical Patch Update di aprile.
Queste vulnerabilità espongono le istanze di Oracle Bi Publisher a rischi di esecuzione di codice remoto non autenticato, quindi consentendo potenzialmente a terze parti di compromettere la sicurezza del sistema senza la necessità di autenticazione preliminare.
Oracle BI Publisher è una piattaforma software progettata per la creazione, gestione e distribuzione di report e documenti personalizzati. Questo strumento è essenziale per ottimizzare la gestione delle informazioni aziendali, migliorando l’efficienza operativa e fornendo insight strategici fondamentali per il processo decisionale.
Per via della sua natura risultano essere diverse le istanze esposte on the wild (su internet), rendendolo un ottimo punto di ingresso per un attaccante che cerca di ottenere una network foothold. Le vulnerabilità individuate interessano le versioni 7.0.0.0 e 12.2.1.4.0 di Oracle BI Publisher. Una delle vulnerabilità rilevate è classificata come critica, con score CVSSv3.1: 9.8 ed identificata con: CVE-2024-21082.
Questa vulnerabilità riguarda il bypass dell’autenticazione attraverso lo sfruttamento di una falla all’interno della webservice: XMLPService. Tale vulnerabilità consente l’acquisizione dei token di sessione degli utenti di Oracle BI Publisher, conoscendone solamente l’indirizzo e-mail. Ciò permette ad un attaccante remoto e non autenticato di assumere il controllo del sistema, potenzialmente anche con privilegi amministrativi.
L’ottenimento dei token di sessione non solo compromette direttamente la confidenzialità, integrità e disponibilità dei dati, ma apre anche la porta all’exploit della CVE-2024-21083. Quest’ultima, utilizzando la webservice “PluginService“, consente l’esecuzione di codice remoto sull’istanza coinvolta, tramite la componente “ScriptEngine” del pacchetto javax.script.
Infine, una vulnerabilità con score: 5.8 permette a un utente non autenticato di causare l’esecuzione di richieste arbitrarie da parte del server mediante l’utilizzo di diversi protocolli come, ftp://, http://, file://. Sebbene questa falla possa avere un impatto limitato su Oracle BI Publisher stesso, potrebbe comportare conseguenze gravi su altri prodotti, modificando l’ambito del rischio.
In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni presenti all’interno della CPU di aprile: https://www.oracle.com/security-alerts/cpuapr2024.html.
