Oracle iPlanet Web服务器中披露的数据泄露、网络钓鱼安全漏洞

3wthx

研究人员披露了一组影响到Oracle的iPlanet Web服务器的漏洞。
4 T( r; y6 V9 `2 j3 S) g% _5 U5 M
该安全漏洞被追踪为CVE-2020-9315和CVE-2020-9314，该安全漏洞允许敏感数据暴露和有限的注入攻击。
5 v+ Q! E* [6 ~
* }3 V( I0 p/ f0 w% N该问题最早由Nightwatch网络安全研究人员于2020年1月19日发现，是在企业服务器管理系统的Web管理控制台中发现的。
6 s" D/ C; B9 B2 I7 g
( m1 z' [7 V7 z) K: ICVE-2020-9315允许在没有认证的情况下，通过简单地替换目标页面的管理界面URL，读取控制台内的任何页面。研究人员表示，这个漏洞可能导致敏感数据泄露，包括配置信息和加密密钥。
/ V5 M+ A  s! M) d. r) _+ O. S
第二个安全漏洞CVE-2020-9314，是在控制台的 "productNameSrc "参数中发现的。对CVE-2012-0516的不完整修复，这是一个包含XSS验证问题的 "未指定的 "安全问题，它允许该参数与 "productNameHeight "和 "productNameWidth "参数一起被滥用，用于向域中注入图像，以达到网络钓鱼和社会工程的目的。
. a5 P3 }2 {  j* G' }$ {1 J# q+ K* r! `
: V4 G' z( V, Q1 kOracle iPlanet Web Server 7.0.x容易受到这些问题的影响，但不知道该应用的早期版本是否也会受到影响。研究人员表示，最新版本的Oracle Glassfish和Eclipse Glassfish与iPlanet "共享共同代码"，但它们 "似乎并不存在漏洞。"
' x7 ^' q! l' C6 D2 Q) ?8 ]' ~
由于iPlanet Web Server 7.0.x是一个遗留产品，不再受Oracle的支持(.PDF)，因此没有计划发布安全修复方案。
  }7 N& k. h! _" F
"由于甲骨文公司不再支持Oracle iPlanet Web Server 7.0.x，因此公司的政策是，没有涉及甲骨文的协调披露。"该公司表示。"报告人如果发现甲骨文不再支持的产品存在安全漏洞，可以在没有甲骨文参与的情况下自由披露漏洞细节。"

+ i9 x' v3 K) u' S0 C, s如果企业仍然在使用这种遗留的软件，建议采取其他控制措施来降低被利用的风险，比如限制网络访问 -- 或者进行升级。

5 O) A1 K/ p% K& e; {在发现后，研究人员最初于1月24日向思科公司发送了他们的发现。由于产品不再支持，这家科技巨头两次拒绝了报告，但安全漏洞仍被转交给MITRE进行CVE分配。到2月2日，该机构已经分配了CVE编号，导致5月份公开披露。
* ^# Z1 U$ j+ `( b- z
; i" n  u7 d5 `9 a+ `" [+ K几个月前，思科公司披露并修复了十几个影响自适应安全设备（ASA）和Firepower威胁防御（FTD）软件套件的高危漏洞。

总共修复了八个拒绝服务漏洞、一个内存泄漏问题、一个路径穿越问题和一个身份验证绕过漏洞 -- 其中最严重的漏洞获得了9.1分的CVSS评分。
' K- u: B3 R/ t2 G7 S
ZDNet已经联系到思科，我们将在收到消息后及时更新。