Durante un’attività condotta dall’Offensive Team Yoroi di Tinexta Cyber, Davide Virruso (Offensive security Expert Yoroi di Tinexta Cyber) ha rilevato diverse vulnerabilità sul prodotto Oracle BI Publisher. Tre di queste sono state incluse nella Oracle Critical Patch Update di aprile.
Queste vulnerabilità espongono le istanze di Oracle Bi Publisher a rischi di esecuzione di codice remoto non autenticato, quindi consentendo potenzialmente a terze parti di compromettere la sicurezza del sistema senza la necessità di autenticazione preliminare.
Oracle BI Publisher è una piattaforma software progettata per la creazione, gestione e distribuzione di report e documenti personalizzati. Questo strumento è essenziale per ottimizzare la gestione delle informazioni aziendali, migliorando l’efficienza operativa e fornendo insight strategici fondamentali per il processo decisionale.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per via della sua natura risultano essere diverse le istanze esposte on the wild (su internet), rendendolo un ottimo punto di ingresso per un attaccante che cerca di ottenere una network foothold. Le vulnerabilità individuate interessano le versioni 7.0.0.0 e 12.2.1.4.0 di Oracle BI Publisher. Una delle vulnerabilità rilevate è classificata come critica, con score CVSSv3.1: 9.8 ed identificata con: CVE-2024-21082.
Questa vulnerabilità riguarda il bypass dell’autenticazione attraverso lo sfruttamento di una falla all’interno della webservice: XMLPService. Tale vulnerabilità consente l’acquisizione dei token di sessione degli utenti di Oracle BI Publisher, conoscendone solamente l’indirizzo e-mail. Ciò permette ad un attaccante remoto e non autenticato di assumere il controllo del sistema, potenzialmente anche con privilegi amministrativi.
L’ottenimento dei token di sessione non solo compromette direttamente la confidenzialità, integrità e disponibilità dei dati, ma apre anche la porta all’exploit della CVE-2024-21083. Quest’ultima, utilizzando la webservice “PluginService“, consente l’esecuzione di codice remoto sull’istanza coinvolta, tramite la componente “ScriptEngine” del pacchetto javax.script.
Infine, una vulnerabilità con score: 5.8 permette a un utente non autenticato di causare l’esecuzione di richieste arbitrarie da parte del server mediante l’utilizzo di diversi protocolli come, ftp://, http://, file://. Sebbene questa falla possa avere un impatto limitato su Oracle BI Publisher stesso, potrebbe comportare conseguenze gravi su altri prodotti, modificando l’ambito del rischio.
In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni presenti all’interno della CPU di aprile: https://www.oracle.com/security-alerts/cpuapr2024.html.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cyberpolitica
Cybercrime
Cybercrime
Cybercrime