НОВОСТИ Уязвимости в Oracle iPlanet Web Server позволяют похитить конфиденциальные данные

[Bonnie]

Исследователи безопасности из компании Nightwatch Cybersecurity

You must be registered for see links

ряд уязвимостей, затрагивающих Oracle iPlanet Web Server. Эксплуатация уязвимостей (

You must be registered for see links

) позволяет злоумышленнику получить доступ к конфиденциальным данным и осуществлять фишинговые атаки.

Проблемы были обнаружены в консоли web-администрирования системы управления корпоративными серверами. Первая уязвимость (CVE-2020-9315) позволяет читать любую страницу в консоли без аутентификации путем простой замены URL-адреса интерфейса администратора на целевой странице. По словам специалистов, это может привести к утечке конфиденциальных данных, включая информацию о конфигурации и ключи шифрования.

Вторая проблема (CVE-2020-9314) была обнаружена в параметре «productNameSrc» консоли. Из-за некорректного исправления для уязвимости (

You must be registered for see links

) возникла возможность злоупотреблять данным параметром в сочетании с параметрами «productNameHeight» и «productNameWidth» для внедрения изображений в домен с целью осуществления фишинговых атак и использования социальной инженерии.

Версии Oracle iPlanet Web Server 7.0.x уязвимы к данным проблемам, но неизвестно, затронуты ли более ранние версии. Поскольку iPlanet Web Server 7.0.x является устаревшим продуктом и больше не поддерживается Oracle, компания не планирует выпускать исправления для уязвимостей.

Источник:

You must be registered for see links