Oracle Access Manager затронула серьезная уязвимость аутентификации

Oracle Access Manager затронула серьезная уязвимость аутентификации

Oracle Access Manager затронула серьезная уязвимость аутентификации

Недавно пропатченная Oracle уязвимость нарушала основные функции Oracle Access Manager (OAM), предназначенные для предоставления доступа к защищенным данным предприятия только авторизованным пользователям.

OAM предоставляет функцию аутентификации для веб-приложений на основе Oracle Fusion Middleware. Возможности этого решении также позволяют блокировать доступ к внешним мобильным и облачным приложениям.

Однако специалисты австралийской компании SEC-Consult обнаружили недостаток в реализации криптографического алгоритма, позволяющего создавать токены сеанса для любого пользователя. Злоумышленники могут использовать этот баг, выдав себя за легитимного пользователя, тем самым получив доступ к веб-приложениям, которые OAM должен защищать.

Как пояснили эксперты, проблема кроется в компоненте аутентификации Oracle WebGate.

Когда пользователи пытаются получить доступ к защищенному ресурсу, они перенаправляются на страницу OAM, где нужно ввести имя пользователя и пароль. Если данные введены корректно, пользователь перенаправляется обратно в веб-приложение, где он может войти в систему, используя зашифрованный токен аутентификации, который хранится в файле cookie браузера.

Однако недостаток позволил исследователю SEC-Consult расшифровать токен аутентификации.

«Используя эту уязвимость, мы смогли создать токен сеанса. WebGate принимает такой токен за легитимный и предоставляет доступ к защищенным ресурсам», — объясняет эксперт — «Более того, можно также создать специальный cookie-файл для произвольного имени пользователя, что позволит выдать себя за любого пользователя».

Мошенники за рубежом охотно перенимают схему Долиной

На популярном у россиян острове Бали местные мошенники начали активно использовать схему, напоминающую «казус Долиной». Они выступают посредниками при аренде недвижимости, хотя не имеют права сдавать эти объекты. С подобным мошенничеством уже столкнулась жительница Новосибирска.

По ее словам, семья арендовала виллу через агента, который представился родственником владельцев. Договор аренды был заключен сразу на год.

О распространении такой схемы сообщает РИА Новости со ссылкой на пострадавших.

Однако, когда семья приехала на отдых, появился настоящий владелец и заявил, что денег за аренду не получал, а посредник не имеет к нему никакого отношения:

«Он просто повесил на дом замок и сказал, что мы заплатили не тому человеку. По его словам, деньги получил только агент, с которым они больше не сотрудничают. Теперь нам предлагают съехать и самостоятельно требовать деньги обратно у этого агента».

Как отмечает РИА Новости, этот случай не единичный. По аналогичной схеме были обмануты несколько россиян из разных регионов, пытавшихся арендовать жилье на Бали. Встречаются и ситуации, когда один и тот же объект одновременно сдают сразу нескольким туристам.

В России мошенники при аренде недвижимости обычно используют другие схемы. Чаще всего они стремятся получить предоплату, заманивая жертву большой скидкой, а затем исчезают.

Осенью 2025 года появилась схема, при которой злоумышленники выдают себя за собственников объекта и просят перевести деньги за аренду по новым реквизитам. Встречаются также варианты с бронированием несуществующих объектов.

RSS: Новости на портале Anti-Malware.ru