Tinexta Cyber scopre una vulnerabilità critica da 9.8 di Score su Oracle BI Publisher

Redazione RHC : 6 Maggio 2024 15:33

Durante un’attività condotta dall’Offensive Team Yoroi di Tinexta Cyber, Davide Virruso (Offensive security Expert Yoroi di Tinexta Cyber) ha rilevato diverse vulnerabilità sul prodotto Oracle BI Publisher. Tre di queste sono state incluse nella Oracle Critical Patch Update di aprile.

Queste vulnerabilità espongono le istanze di Oracle Bi Publisher a rischi di esecuzione di codice remoto non autenticato, quindi consentendo potenzialmente a terze parti di compromettere la sicurezza del sistema senza la necessità di autenticazione preliminare.

Oracle BI Publisher è una piattaforma software progettata per la creazione, gestione e distribuzione di report e documenti personalizzati. Questo strumento è essenziale per ottimizzare la gestione delle informazioni aziendali, migliorando l’efficienza operativa e fornendo insight strategici fondamentali per il processo decisionale.

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a redazione@redhotcyber.com oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Per via della sua natura risultano essere diverse le istanze esposte on the wild (su internet), rendendolo un ottimo punto di ingresso per un attaccante che cerca di ottenere una network foothold. Le vulnerabilità individuate interessano le versioni 7.0.0.0 e 12.2.1.4.0 di Oracle BI Publisher. Una delle vulnerabilità rilevate è classificata come critica, con score CVSSv3.1: 9.8 ed identificata con: CVE-2024-21082.

Questa vulnerabilità riguarda il bypass dell’autenticazione attraverso lo sfruttamento di una falla all’interno della webservice: XMLPService. Tale vulnerabilità consente l’acquisizione dei token di sessione degli utenti di Oracle BI Publisher, conoscendone solamente l’indirizzo e-mail. Ciò permette ad un attaccante remoto e non autenticato di assumere il controllo del sistema, potenzialmente anche con privilegi amministrativi.

L’ottenimento dei token di sessione non solo compromette direttamente la confidenzialità, integrità e disponibilità dei dati, ma apre anche la porta all’exploit della CVE-2024-21083. Quest’ultima, utilizzando la webservice “PluginService“, consente l’esecuzione di codice remoto sull’istanza coinvolta, tramite la componente “ScriptEngine” del pacchetto javax.script.

Infine, una vulnerabilità con score: 5.8 permette a un utente non autenticato di causare l’esecuzione di richieste arbitrarie da parte del server mediante l’utilizzo di diversi protocolli come, ftp://, http://, file://. Sebbene questa falla possa avere un impatto limitato su Oracle BI Publisher stesso, potrebbe comportare conseguenze gravi su altri prodotti, modificando l’ambito del rischio.

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni presenti all’interno della CPU di aprile: https://www.oracle.com/security-alerts/cpuapr2024.html.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.