Oracle Access Manager затронула серьезная уязвимость аутентификации

Oracle Access Manager затронула серьезная уязвимость аутентификации

Oracle Access Manager затронула серьезная уязвимость аутентификации

Недавно пропатченная Oracle уязвимость нарушала основные функции Oracle Access Manager (OAM), предназначенные для предоставления доступа к защищенным данным предприятия только авторизованным пользователям.

OAM предоставляет функцию аутентификации для веб-приложений на основе Oracle Fusion Middleware. Возможности этого решении также позволяют блокировать доступ к внешним мобильным и облачным приложениям.

Однако специалисты австралийской компании SEC-Consult обнаружили недостаток в реализации криптографического алгоритма, позволяющего создавать токены сеанса для любого пользователя. Злоумышленники могут использовать этот баг, выдав себя за легитимного пользователя, тем самым получив доступ к веб-приложениям, которые OAM должен защищать.

Как пояснили эксперты, проблема кроется в компоненте аутентификации Oracle WebGate.

Когда пользователи пытаются получить доступ к защищенному ресурсу, они перенаправляются на страницу OAM, где нужно ввести имя пользователя и пароль. Если данные введены корректно, пользователь перенаправляется обратно в веб-приложение, где он может войти в систему, используя зашифрованный токен аутентификации, который хранится в файле cookie браузера.

Однако недостаток позволил исследователю SEC-Consult расшифровать токен аутентификации.

«Используя эту уязвимость, мы смогли создать токен сеанса. WebGate принимает такой токен за легитимный и предоставляет доступ к защищенным ресурсам», — объясняет эксперт — «Более того, можно также создать специальный cookie-файл для произвольного имени пользователя, что позволит выдать себя за любого пользователя».

На орбите участились «собачьи бои» между разведывательными спутниками

В космосе становится теснее. Как пишет The Washington Post, орбитальное пространство всё больше напоминает арену для тихих «воздушных боёв», только вместо истребителей — спутники, а вместо секунд — часы и даже дни. Один из таких эпизодов, по данным издания, произошёл ещё в 2022 году на высоте около 22 тысяч миль над Землёй.

Американский спутник наблюдения USA-270 сблизился с двумя недавно запущенными китайскими аппаратами в одном из самых чувствительных районов околоземного пространства.

Манёвр выглядел вполне по-военному: подход сзади, с Солнцем за спиной, чтобы лучше «подсветить цель».

Но дальше случилось то, что журналисты сравнивают с трюком из фильма «Лучший стрелок». Один из китайских спутников внезапно замедлился, пропустил американский аппарат вперёд — и оказался у него «на хвосте». Роли поменялись, и операторам USA-270 пришлось срочно пересчитывать траекторию. Ни Пентагон, ни Пекин этот эпизод официально не комментировали.

По словам опрошенных Washington Post экспертов, подобные манёвры в космосе давно перестали быть редкостью. В оборонных кругах их уже неформально называют dogfighting — «собачьи бои», по аналогии с авиацией.

Чаще всего речь идёт не об атаках, а о разведке: спутники сближаются, фотографируют друг друга, анализируют сигналы, слушают каналы связи между орбитой и Землёй. В теории такие аппараты могут и глушить сигналы, и мешать работе спутников раннего предупреждения или военной связи.

Раньше всё было иначе. После вывода на орбиту спутники старались почти не маневрировать — топливо дорогое, срок службы ограничен. Но сейчас ситуация меняется.

«Раньше спутники не проектировали для боя и самозащиты. Теперь это стремительно меняется», — отметил Клинтон Кларк, директор по развитию компании ExoAnalytic Solutions, которая занимается мониторингом космической обстановки.

Современные аппараты всё чаще ведут себя как самолёты: ускоряются, тормозят, «банкуют» и даже летают парами. В статье также приводится недавний комментарий министра обороны Германии. Он пожаловался на российский спутник, который, по его словам, длительное время находился рядом с коммерческим аппаратом связи, используемым бундесвером.

«Такие спутники могут глушить, ослеплять, манипулировать или даже физически выводить из строя другие аппараты», — заявил министр.

При этом эксперты подчёркивают: в отличие от воздушных боёв, космические «перетягивания позиции» длятся не секунды, а часы или дни. Всё происходит медленно, но со вполне реальными стратегическими последствиями.

RSS: Новости на портале Anti-Malware.ru