0
0
Vulnerabilidade tem escore de 9.8 no CVSS e afeta o Oracle Access Manager versões 11.1.2.3.0, 12.2.1.3.0 e 12.2.1.4.0
A Agência de Segurança Cibernética e Infraestrutura (CISA) dos EUA adicionou na segunda-feira, 28, uma falha crítica que afeta o Oracle Fusion Middleware ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), citando evidências de exploração ativa.
A vulnerabilidade, rastreada como CVE-2021-35587, tem escore de 9.8 no sistema de pontuação comum de vulnerabilidades (CVSS) e afeta o Oracle Access Manager (OAM) versões 11.1.2.3.0, 12.2.1.3.0 e 12.2.1.4.0.
A exploração bem-sucedida do bug de execução de comando remoto pode permitir que um invasor não autenticado com acesso à rede comprometa e assuma completamente as instâncias do Access Manager.
“Ele pode dar ao invasor acesso ao servidor OAM, para criar qualquer usuário com quaisquer privilégios ou apenas obter a execução de código no servidor da vítima”, observou o pesquisador de segurança vietnamita Nguyen Jang, que relatou o bug ao lado de Peterjson, no início de março.
O problema foi resolvido pela Oracle como parte de sua atualização crítica de patch em janeiro.
Detalhes adicionais sobre a natureza dos ataques e a escala de exploração não estão claros. Os dados coletados pela empresa de inteligência de ameaças GreyNoise mostram que as tentativas de explorar a falha estão em andamento e são originárias dos EUA, China, Alemanha, Cingapura e Canadá.
Também adicionada pela CISA ao catálogo KEV está a falha recentemente corrigida de estouro de buffer de heap no navegador Google Chrome (CVE-2022-4135) que a gigante da internet reconheceu como tendo sido explorada.As agências federais são obrigadas a aplicar os patches do fornecedor até 19 de dezembro, para proteger suas redes contra possíveis ameaças.
FONTE: CISO ADVISOR