Fuga de datos, fallas de seguridad de phishing reveladas en Oracle iPlanet Web Server

Los investigadores han revelado un conjunto de vulnerabilidades que afectan el servidor web iPlanet de Oracle. Rastreadas como CVE-2020-9315 y CVE-2020-9314, las fallas de seguridad permiten la exposición de datos confidenciales y ataques de inyección limitados. Descubiertos por primera vez por los investigadores de Nightwatch Cybersecurity el 19 de enero de 2020, los problemas se encontraron en la consola de administración web del sistema de administración del servidor empresarial.
Ver también: Cisco: estos 12 errores de alta gravedad en el software de seguridad ASA y Firepower necesitan parches CVE-2020-9315 permite la lectura de cualquier página dentro de la consola, sin autenticación, simplemente reemplazando una URL de GUI de administrador para la página de destino. Los investigadores dicen que este error podría provocar la fuga de datos confidenciales, incluida la información de configuración y las claves de cifrado. El segundo defecto de seguridad, CVE-2020-9314, se descubrió en el parámetro "productNameSrc" de la consola.
Una solución incompleta para CVE-2012-0516, un problema de seguridad 'no especificado' que contiene problemas de validación XSS, permitido para este parámetro se debe utilizar conjuntamente con los parámetros "productNameHeight" y "productNameWidth" para la inyección de imágenes en un dominio con fines de phishing e ingeniería social. Oracle iPlanet Web Server 7.0.
x es vulnerable a estos problemas, pero no se sabe si las versiones anteriores de la aplicación también se ven afectadas. Los investigadores dicen que las últimas versiones de Oracle Glassfish y Eclipse Glassfish "comparten código común" con iPlanet, pero que "no parecen ser vulnerables". Como iPlanet Web Server 7.
0.x es un producto heredado y Oracle ya no lo admite (.PDF), no hay planes para emitir soluciones de seguridad.
CNET: ¿Comprar un viejo teléfono Android? Lo que debes saber sobre privacidad y seguridad "Dado que Oracle ya no es compatible con Oracle iPlanet Web Server 7.0.x, la política es que no haya una divulgación coordinada que involucre a Oracle", dijo la compañía.
"Los reporteros que descubren vulnerabilidades de seguridad en productos que Oracle ya no admite son libres de divulgar detalles de vulnerabilidad sin la participación de Oracle ". Si las organizaciones aún usan este software heredado, se recomienda que se establezcan otros controles para mitigar el riesgo de explotación, como restringir el acceso a la red o realizar una actualización. Tras los descubrimientos, los investigadores enviaron inicialmente sus hallazgos a Cisco el 24 de enero. El gigante tecnológico rechazó los informes dos veces ya que el producto ya no es compatible, pero las fallas de seguridad aún se remitieron a MITRE para la asignación de CVE. Para el 2 de febrero, la agencia había asignado números CVE, lo que llevó a la divulgación pública en mayo. TechRepublic: 5 cosas que los desarrolladores deben saber sobre la privacidad y seguridad de los datos Hace varios meses, Cisco reveló y solucionó una docena de vulnerabilidades de alta gravedad que afectaban a las suites de software Adaptive Security Appliance (ASA) y Firepower Threat Defense (FTD).
En total, se corrigieron ocho errores de denegación de servicio, un problema de pérdida de memoria, un problema de recorrido de ruta y una vulnerabilidad de omisión de autenticación, la más severa obteniendo una puntuación CVSS de 9.1. ZDNet se ha comunicado con Cisco y se actualizará cuando regresemos.
pags VER GALERÍA COMPLETA ¿Tienes una propina? Póngase en contacto de forma segura a través de WhatsApp | Señal en +447713 025 499, o más en Keybase: charlie0.