甲骨文 Access Manager 現漏洞，黑客連管理員賬號都能霸占

雷鋒網消息，據外媒美國時間5月3日報道，來自 SEC 漏洞咨詢實驗室安全研究人員 Wolfgang Ettlinger 在甲骨文 Access Manager（以下簡稱 OAM）上發(fā)現了一個安全漏洞，黑客可以利用它遠程繞過身份驗證程序，接管任何用戶的賬號。如果黑客愿意，他們連管理員的賬號都能霸占。

OAM 不但支持多重身份驗證（MFA），還能實現 Web 單點登錄（SSO）。此外，會話管理、標準 SAML 聯盟和 OAuth 等安全防護一應俱全，方便用戶安全的訪問移動應用和外部云存儲。不過，這樣嚴密的防護依然存在漏洞。

這次發(fā)現的漏洞代號為 CVE-2018-2879，與 OAM 使用的一種有缺陷的密碼格式有關。

“OAM 是甲骨文 Fusion Middleware 的組成部分之一，后者負責掌控各種類型網絡應用的認證。”SEC 的 Ettlinger 解釋道。

“我們會通過演示證明加密實現的小特性是如何對產品安全造成實際影響的。只要利用了這一漏洞，我們就能制作任意的身份驗證令牌來扮演任何用戶，同時還能有效的破壞 OAM 的主要功能。”Ettlinger 說道。

Ettlinger 解釋稱，攻擊者可以利用該漏洞找到 OAM 處理加密信息的弱點，誘使該軟件意外透露相關信息，隨后利用這些信息冒充其他用戶。

攻擊者能組織一場填充攻擊，使甲骨文披露賬戶的授權 Cookie。隨后它就能制作出能生成有效登陸密匙的腳本，想冒充誰就冒充誰。

“在研究中我們發(fā)現，OAM 用到的密碼格式有個嚴重的漏洞，只要稍加利用，我們就能制作出會話令牌。拿這個令牌去騙 WebGate 一騙一個準，想接入受保護的資源簡直易如反掌。”Ettlinger 解釋道。“更可怕的是，會話 Cookie 的生成過程讓我們能冒充任意用戶名搞破壞。”

雷鋒網了解到，OAM 11g 和 12c 版本都受到了該漏洞的影響。

Ettlinger 去年 11 月就將該漏洞報告給了甲骨文，不過 IT 巨頭在今年 4 月的補丁更新中才解決了在這一問題。如果你也在用 OAM，還是抓緊時間打補丁來封堵漏洞吧。

雷鋒網Via. Security Affairs

雷峰網原創(chuàng)文章，未經授權禁止轉載。詳情見轉載須知。