| Название базовой системы (платформы): | Oracle Fusion Middleware |
| Разработчики: | Oracle |
| Технологии: | ИБ - Аутентификация |
2018
В Oracle Access Manager (OAM) обнаружена уязвимость (CVE-2018-2879), позволяющая осуществить атаку padding oracle. С ее помощью злоумышленник может обойти механизм аутентификации и выдать себя за владельца любой учетной записи пользователя. Уязвимость связана с используемым OAM криптографическим форматом и затрагивает версии OAM 11g и 12c.
OAM является компонентом платформы Oracle Fusion Middleware, обеспечивающим аутентификацию в web-приложениях различных видов. Как правило, web-сервер, предоставляющий доступ к приложению, оснащен компонентом для аутентификации пользователей (Oracle WebGate). Пользователь, запрашивающий защищенный ресурс с web-сервера, перенаправляется для аутентификации на OAM. Затем OAM проводит аутентификацию пользователя (по паролю и имени) и перенаправляет его обратно к web-приложению. Поскольку аутентификация осуществляется централизованно, для того чтобы получить доступ к любому приложению, защищенному OAM, пользователю достаточно пройти аутентификацию только один раз.
Как сообщают исследователи компании SEC Consult, в OAM есть уязвимость, позволяющая шифровать и расшифровывать данные, передаваемые между OAM и web-серверами. С ее помощью исследователям удалось создать действительный токен сеанса, зашифровать его, отправить на web-сервер и получить доступ к защищенным ресурсам в качестве пользователя, уже прошедшего аутентификацию с помощью OAM.
Администраторам OAM настоятельно рекомендуется установить обновление, исправляющее данную уязвимость. Атака с использованием уязвимости продемонстрирована в видео ниже.
Подрядчики-лидеры по количеству проектов
Индид, Indeed (ранее Indeed ID) (64) Инфосистемы Джет (51) ДиалогНаука (40) Softline (Софтлайн) (39) Информзащита (36) Другие (913) Индид, Indeed (ранее Indeed ID) (9) Сканпорт АйДи (Scanport) (6) Инфосистемы Джет (4) Уральский центр систем безопасности (УЦСБ) (3) Inspect (3) Другие (48) Уральский центр систем безопасности (УЦСБ) (6) Индид, Indeed (ранее Indeed ID) (4) Инфосистемы Джет (4) Сканпорт АйДи (Scanport) (3) TUV Austria (2) Другие (56) Индид, Indeed (ранее Indeed ID) (7) ОКТРОН (5) Viant (Виант) (4) SafeTech Group (СэйфТек) (3) Softline (Софтлайн) (3) Другие (79)Данные не найдены
Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Индид, Indeed (ранее Indeed ID) (6, 65) SafeTech Group (СэйфТек) (4, 39) Аладдин Р.Д. (Aladdin R.D.) (20, 27) Visa International (2, 26) Avanpost (Аванпост) (10, 23) Другие (498, 248) Индид, Indeed (ранее Indeed ID) (2, 9) Shenzhen Chainway Information Technology (1, 6) SafeTech Group (СэйфТек) (1, 4) Аладдин Р.Д. (Aladdin R.D.) (4, 3) IT-Lite (АйТи Лайт) (1, 1) Другие (1, 1) Индид, Indeed (ранее Indeed ID) (2, 4) Shenzhen Chainway Information Technology (1, 3) SafeTech Group (СэйфТек) (1, 3) Мобильные ТелеСистемы (МТС) (1, 2) АТ бюро (ESMART) (1, 1) Другие (10, 10) Shenzhen Chainway Information Technology (1, 8) Индид, Indeed (ранее Indeed ID) (2, 7) SafeTech Group (СэйфТек) (2, 3) ВАС Экспертс (VAS Experts) (1, 2) Мультифактор (Multifactor) (1, 2) Другие (13, 15)Данные не найдены
Распределение базовых систем по количеству проектов, включая партнерские решения (проекты, партнерские проекты)
Indeed Access Manager (Indeed AM) - 47 (47, 0) SafeTech: PayControl - 27 (24, 3) 3-D Secure (3D-Secure) - 26 (23, 3) Shenzhen Chainway C-серия RFID-считывателей - 21 (21, 0) Avanpost IDM Access System - 20 (20, 0) Другие 244 Indeed Access Manager (Indeed AM) - 7 (7, 0) Shenzhen Chainway C-серия RFID-считывателей - 6 (6, 0) SafeTech: PayControl - 4 (4, 0) Indeed PAM - Indeed Privileged Access Manager - 3 (3, 0) Aladdin 2FA - 3 (3, 0) Другие 3 SafeTech: PayControl - 3 (3, 0) Indeed PAM - Indeed Privileged Access Manager - 3 (3, 0) Shenzhen Chainway C-серия RFID-считывателей - 3 (3, 0) Indeed Access Manager (Indeed AM) - 2 (2, 0) МТС ID - 2 (2, 0) Другие 10 Shenzhen Chainway C-серия RFID-считывателей - 8 (8, 0) Indeed PAM - Indeed Privileged Access Manager - 6 (6, 0) Jet inView - 2 (0, 2) Multifactor Сервис многофакторной аутентификации - 2 (2, 0) Indeed Access Manager (Indeed AM) - 2 (2, 0) Другие 14 
