Oracle Access Manager затронула серьезная уязвимость аутентификации

Oracle Access Manager затронула серьезная уязвимость аутентификации

Недавно пропатченная Oracle уязвимость нарушала основные функции Oracle Access Manager (OAM), предназначенные для предоставления доступа к защищенным данным предприятия только авторизованным пользователям.

OAM предоставляет функцию аутентификации для веб-приложений на основе Oracle Fusion Middleware. Возможности этого решении также позволяют блокировать доступ к внешним мобильным и облачным приложениям.

Однако специалисты австралийской компании SEC-Consult обнаружили недостаток в реализации криптографического алгоритма, позволяющего создавать токены сеанса для любого пользователя. Злоумышленники могут использовать этот баг, выдав себя за легитимного пользователя, тем самым получив доступ к веб-приложениям, которые OAM должен защищать.

Как пояснили эксперты, проблема кроется в компоненте аутентификации Oracle WebGate.

Когда пользователи пытаются получить доступ к защищенному ресурсу, они перенаправляются на страницу OAM, где нужно ввести имя пользователя и пароль. Если данные введены корректно, пользователь перенаправляется обратно в веб-приложение, где он может войти в систему, используя зашифрованный токен аутентификации, который хранится в файле cookie браузера.

Однако недостаток позволил исследователю SEC-Consult расшифровать токен аутентификации.

«Используя эту уязвимость, мы смогли создать токен сеанса. WebGate принимает такой токен за легитимный и предоставляет доступ к защищенным ресурсам», — объясняет эксперт — «Более того, можно также создать специальный cookie-файл для произвольного имени пользователя, что позволит выдать себя за любого пользователя».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

На ЦИПР стартует третий Международный киберчемпионат по ИБ

В рамках ежегодной конференции «Цифровая индустрия промышленной России» (ЦИПР), которая будет проходить с 21 по 24 мая 2024 года, ГК «Солар» организует Международный киберчемпионат по информационной безопасности.

В соревновании примут участие команды реагирования на кибератаки российских и зарубежных системообразующих организаций, а также сотрудники SOC и представители коммерческих центров противодействия атакам.

Как отметили в ГК «Солар», в этом году организаторы получили более 180 заявок из 21 страны, после чего отобрали 40 команд из 18 стран, в том числе из стран СНГ, Азиатско-Тихоокеанского региона, Ближнего Востока, Африки и Южной Америки. В финал попадут лишь пять команд, которых выделят на отборочном этапе.

Поскольку сегодня атаки в киберпространстве входят в список глобальных рисков, а формирование цифрового суверенитета актуально для всех стран, российские и зарубежные компании проявляют высокий интерес к Международному киберчемпионату.

Соревнования пройдут на киберполигоне ГК «Солар», как это было в предыдущие годы. Специалисты построили его на базе программного комплекса «Солар Кибермир» (читай наш обзор рынка киберполигонов).

Организаторы подготовили 45 типовых ИТ-инфраструктур: 40 — для отборочного этапа (на двух из них будут организованы обучающие брифинги) и 5 — для финала. В подготовке Киберчемпионата задействовано более 50 человек.

Отборочный этап (пройдёт 15 мая) позволит участникам отразить массированную атаку кибергруппировки на инфраструктуру критически важного объекта. Чтобы попасть в финал, необходимо набрать наибольшее количество баллов за отражение и расследование атак.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru