Обнаружены критичные уязвимости в бизнес-приложении Oracle

Обнаружены критичные уязвимости в бизнес-приложении Oracle

Исследователи компании Digital Security, обнаружили две критичные уязвимости в E-Business Suite, ключевом ПО для бизнеса Oracle, за что были удостоены официальной благодарности вендора.

Сотрудники компании с 2008 года регулярно находят различные проблемы безопасности в продуктах известного производителя, что более десятка раз отмечалось Oracle в квартальных бюллетенях. 

Обе указанные уязвимости относятся к типу XXE. С помощью специально сформированных запросов с XML они позволяют читать произвольные файлы с сервера EBS. Кроме того, они дают возможность выполнять SSRF-атаки, а также DOS-атаки. Эти уязвимости сложно проэксплуатировать анонимно. 

Обнаруженные сотрудниками Digital Security проблемы безопасности имеют большое значение, поскольку они влияют на такие критически важные бизнес-приложения, базирующиеся на платформе E-Business Suite, как Value Chain Execution Suite, Value Chain Planning, Advanced Procurement, Supply Chain Management, Project Portfolio Management, Human Capital Management, Financial Management, Service Management, Customer Relationship Management и прочее. Эти решения, в свою очередь, хранят и обрабатывают основные корпоративные данные (HR- и финансовая информация, списки поставщиков и клиентов, и т.д.). Таким образом, в случае успешной реализации атаки, злоумышленник сможет подделать данные о количестве материальных ресурсов, изменить цены, присвоить средства и внести изменения в финансовые отчеты. 

В общем, вендор закрыл 78 уязвимостей в ПО Oracle EBS. Поскольку данный компонент управляет широким спектром бизнес-процессов и хранит ключевые данные, успешная атака против Oracle EBS позволит злоумышленнику похитить различную критичную бизнес-информацию (в зависимости от модулей, установленных в организации). 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Баскетболисту Касаткину суд отказал в освобождении из-под стражи

Парижский суд отклонил ходатайство российского баскетболиста Даниила Касаткина об освобождении под судебный надзор. Заседание прошло без объяснения причин такого решения, несмотря на доводы защиты. Таким образом, спортсмен останется под арестом до следующих слушаний по делу об экстрадиции.

Российский баскетболист Даниил Касаткин был задержан во Франции в конце июня по запросу властей США. Однако известно об этом стало лишь спустя почти две недели.

Касаткину инкриминируется участие в переговорах от имени группировки операторов программ-вымогателей. По данным следствия, от действий злоумышленников пострадали около 900 американских организаций, включая два государственных агентства. Сам спортсмен все обвинения отрицает.

«Факты, вменяемые Касаткину в вину, крайне серьёзные: от его действий пострадали 900 американских компаний. Безумие считать гарантии Касаткина достаточными», — цитирует РИА Новости Спорт слова представителя обвинения в суде.

В начале заседания судья отметила, что в США Касаткину может грозить до 25 лет лишения свободы по статьям о компьютерном и электронном мошенничестве.

В итоге суд отклонил прошение об освобождении под судебный надзор. Как сообщил адвокат баскетболиста Фредерик Бело, слушания по вопросу экстрадиции в США назначены на сентябрь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru