Ievainojamības atklāšana
Starpvietņu skriptēšanas ievainojamība Oracle Enterprise Command Center
Oracle E-Business Suite – ECC Framework
CVE-2023-22107 ir starpvietņu skriptēšanas (XSS) ievainojamība Oracle Enterprise Command Center (ECC) Framework komponentē, kas ietilpst Oracle E-Business Suite. Neautentificēts, tīklā bāzēts uzbrucējs, kurš pierunā leģitīmu lietotāju mijiedarboties ar īpaši veidotu pieprasījumu, var izpildīt skriptu šī lietotāja sesijā, iegūstot neautorizētu lasīšanas un atjaunināšanas piekļuvi daļai ECC datu un pieslēgtajiem produktiem. Oracle to novērsa 2023. gada oktobra kritiskajā ielāpu atjauninājumā (Critical Patch Update).
OffSeq
2 min lasīšanai
Kritiskums: VidējsCVSS 6.1CVE-2023-22107
Galvenie fakti
- Identifikators
- CVE-2023-22107
- Klase
- Starpvietņu skriptēšana (CWE-79)
- Kritiskums
- Vidējs
- CVSS
- 6.1
- Produkts
- Oracle E-Business Suite – ECC Framework
- Skartās versijas
- Versijas 8, 9, 10
- Novērsts
- Oracle CPU 2023. gada oktobris
- Loma
- Ziņoja OffSeq dibinātājs
CVSS bāzes vērtējums
/ 10Vidējs
Katrs vērtējums veidojas no astoņiem vienkāršiem jautājumiem par to, kā uzbrukums darbojas un ko tas jums izmaksā.
Cik grūti to izmantot
Ko uzbrucējs var paveikt
Izvēlieties metriku, lai redzētu, ko tā nozīmē
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
§ 01. Pārskats
CVE-2023-22107 ir starpvietņu skriptēšanas (XSS) ievainojamība Enterprise Command Center (ECC) Framework komponentē, kas ietilpst Oracle E-Business Suite. ECC Framework nodrošina interaktīvus paneļus un vadītas datu izpētes saskarnes, kas ļauj lietotājiem pārvietoties pa transakciju informāciju dažādos E-Business Suite moduļos, izmantojot vizuālas, šķautņotas komponentes.
Oracle piešķīra problēmai CVSS 3.1 bāzes vērtējumu 6.1 (vidējs) ar vektoru AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N. Tā skar ECC Framework versijas 8, 9 un 10. Ievainojamība tika atklāta Oracle 2023. gada oktobra kritiskajā ielāpu atjauninājumā, un tās atklāšana tiek piedēvēta OffSeq dibinātājam.
§ 02. Kā tā darbojas
Pamatcēlonis ir starpvietņu skriptēšanas trūkums (CWE-79): uzbrucēja ietekmēta ievade tiek atspoguļota vai saglabāta ECC Framework un attēlota lietotāja pārlūkā bez pietiekamas izvades kodēšanas vai kontekstuālas attīrīšanas. Rezultātā uzbrucējs var iesniegt marķējumu vai skriptu, ko lietojumprogramma iekļauj HTML atbildē, kur upura pārlūks to izpilda ECC lietojumprogrammas izcelsmes uzticamības kontekstā.
CVSS vektors precīzi atspoguļo mehāniku. AV:N kopā ar PR:N nozīmē, ka uzbrukumu tīklā piegādā neautentificēts dalībnieks. UI:R norāda, ka izmantošanai nepieciešama tāda cilvēka mijiedarbība, kurš nav uzbrucējs – piemēram, pieteicies ECC lietotājs, kurš seko īpaši veidotai saitei vai ielādē lapu, kas satur ievadīto kaitīgo payload. S:C (mainīts tvērums) atspoguļo to, ka kods, kas izpildās upura autentificētajā sesijā, var sasniegt tālāk par pašu ECC Framework, līdz pat pieslēgtajiem produktiem, kas ir raksturīgi XSS kļūdai, kur ievainojamā komponente un skartie resursi atšķiras. C:L/I:L/A:N norāda ierobežotu ietekmi uz konfidencialitāti un integritāti un tiešas ietekmes neesamību uz pieejamību.
§ 03. Ietekme
Tā kā izmantošana norit mērķa lietotāja autentificētās sesijas kontekstā, veiksmīgs uzbrukums var rezultēties neautorizētā lasīšanas piekļuvē un neautorizētā atjaunināšanas (ievietošanas, dzēšanas un mainīšanas) piekļuvē daļai datu, kas pieejami caur ECC Framework. Tvēruma maiņas īpašība nozīmē, ka sekas neaprobežojas ar ECC: ievadītais skripts var ietekmēt arī datus, kas pieder produktiem, kuri pieslēgti ietvaram.
Praktiskais riska profils ir sesijas mēroga tīmekļa uzbrukums E-Business Suite operatoriem. Uzbrucējs nevar rīkoties tieši ar lietojumprogrammas privilēģijām, bet, pārtverot leģitīma lietotāja mijiedarbību, viņš var veikt darbības un lasīt datus, kuriem šis lietotājs ir autorizēts. Prasība pēc upura mijiedarbības un ierobežotie ietekmes vērtējumi ir iemesls, kāpēc problēma novērtēta kā vidēja, nevis augsta, taču ECC izvietojumi parasti darbojas ar sensitīviem uzņēmuma transakciju datiem, tāpēc reālās vidēs šī pakļautība ir nozīmīga.
§ 04. Skartās un novērstās versijas
Ievainojamība skar Oracle Enterprise Command Center Framework versijas 8, 9 un 10. Oracle to novērsa kritiskajā ielāpu atjauninājumā, kas izlaists 2023. gada oktobrī.
Administratoriem jāpiemēro attiecīgie 2023. gada oktobra CPU ielāpi savai ECC Framework versijai. Tāpat kā ar visiem Oracle CPU elementiem, labojums ir pieejams tikai caur ceturkšņa ielāpu komplektu, un Oracle iesaka uzturēt kritiskos ielāpu atjauninājumus aktuālus, nevis piemērot atsevišķus labojumus.
§ 05. Atklāšanas hronoloģija
- 2023-10-17Atklāta Oracle 2023. gada oktobra kritiskajā ielāpu atjauninājumā un publicēta NVD
Atsauces
- NVD – CVE-2023-22107 (atveras jaunā cilnē) (https://nvd.nist.gov/vuln/detail/CVE-2023-22107)
- Oracle kritiskā ielāpu atjauninājuma paziņojums – 2023. gada oktobris (atveras jaunā cilnē) (https://www.oracle.com/security-alerts/cpuoct2023.html)
- CVE.org ieraksts – CVE-2023-22107 (atveras jaunā cilnē) (https://www.cve.org/CVERecord?id=CVE-2023-22107)
Atzinība
Atklāja un ziņoja Nils Putniņš (OffSeq Cybersecurity); atzīts Oracle 2023. gada oktobra kritiskajā ielāpu atjauninājumā.
Citi rezultāti
SQL injekcija ar iespējamu ietekmi uz klientu datiem, atbildīgi paziņota
OffSeq dibinātājs Nils Putniņš atklāja SQL injekcijas ievainojamību kāda starptautiska uzņēmuma tīmekļa vietnē, kas varēja pakļaut riskam klientu datus, un ziņoja par to caur CERT.LV – Latvijas nacionālo drošības incidentu reaģēšanas institūciju. Problēma tika risināta saskaņā ar ievainojamības atbildīgas atklāšanas principiem un tika ātri novērsta.
Koordinēta ievainojamības atklāšana20232 min lasīšanai
SWQL injekcija SolarWinds Platform
CVE-2024-28996 ir SWQL (SolarWinds Query Language) injekcijas ievainojamība SolarWinds Platform, kas ļāva ar īpaši veidotu vaicājumu manipulēt pamatā esošo datubāzes slāni. Tā tika atklāta ielaušanās testēšanas laikā NATO Sakaru un informācijas aģentūrai un novērsta SolarWinds Platform 2024.2 versijā.
Ievainojamības atklāšana20243 min lasīšanai
Servera avārija CERT.LV rīkā Graphoscope, ja lietotājs atvienojas augšupielādes laikā
OffSeq atklāja pakalpojuma atteices ievainojamību Graphoscope – CERT.LV publicētajā atvērtā koda platformā, kas ļauj no vienas saskarnes veikt vaicājumus daudzos neatkarīgos datu avotos un attēlot to sakarības grafā. Ja lietotājs augšupielādēja indikatoru sarakstu un aizvēra savienojumu pirms apstrādes beigām, serveris dereferencēja nil WebSocket un avarēja, izrakstot visus lietotājus. To droši varēja izraisīt jebkurš pašreģistrēts konts. OffSeq ziņoja par ievainojamību CERT.LV un iesniedza labojumu, ko CERT.LV iekļāva projektā.
Ievainojamības atklāšana20262 min lasīšanai