Bản vá lỗ hổng được phát hành như là một phần của bản cập nhật vào tháng 1/2018 của Oracle nhằm vá lỗi cho tổng cộng 238 lỗ hổng bảo mật trong các sản phẩm khác nhau.
Theo công bố công khai của Công ty an ninh ERPScan, công ty đã phát hiện và báo cáo vấn đề này, dịch vụ ứng dụng EGroway của MICROS (Oracle) được triển khai bởi hơn 300.000 nhà bán lẻ và kinh doanh trên toàn thế giới dễ bị tấn công vào thư mục.
Nếu bị khai thác, lỗ hổng (CVE-2018-2636) có thể cho phép kẻ tấn công đọc các dữ liệu nhạy cảm và nhận thông tin về các dịch vụ khác nhau từ các máy trạm MICROS dễ bị tổn thương mà không có chứng thực.
Sử dụng lỗ hổng xuyên qua thư mục, một nội gián trái phép có quyền truy cập vào ứng dụng dễ bị tổn thương có thể đọc các tập tin nhạy cảm từ máy trạm MICROS, bao gồm các bản ghi dịch vụ và các tệp cấu hình.
Theo các nhà nghiên cứu giải thích, hai tệp tin nhạy cảm này được lưu trữ trong bộ nhớ ứng dụng - SimphonyInstall.xml, hoặc Dbconfix.xml- chứa tên người dùng và mật khẩu được mã hóa để kết nối với cơ sở dữ liệu.
Các nhà nghiên cứu cảnh báo: kẻ tấn công có thể lấy tên người dùng DB và mật khẩu, bẻ khóa và truy cập vào DB với tất cả dữ liệu kinh doanh. Có một số cách khai thác nó, dẫn đến sự thỏa hiệp toàn bộ hệ thống MICROS.
Nếu ngư iệp to tin rằng việc truy cập vào POS URL là một ktin rằnsnap, các tin t cácó thể tìm thấy quy mô kỹ thuật số hoặc các thiết bị khác sử dụng RJ45, kết nối nó với Raspberry PI và quét mạng nội bộ.
Công ty an ninh ERPScan cũng đã phát hành một PoC khai thác dựa trên Python, nếu thực hiện trên một máy chủ MICROS có l thác , sẽ gửi một yêu cầu độc hại để có được nội dung của các tập tin nhạy cảm để đáp ứng.
Ngoài ra, bản cập nhật tháng 1/2018 của Oracle cũng cung cấp các bản vá cho lỗ hổng bộ vi xử lý Spectre và Meltdown Intel ảnh hưởng đến các sản phẩm Oracle.
Minh Thư
Theo The Hacker News
09:00 | 01/04/2019
14:00 | 03/07/2020
15:00 | 21/07/2020
10:00 | 26/04/2024
10:00 | 26/04/2024
Oracle dự kiến sẽ đầu tư 1.200 tỷ Yen (khoảng 8 tỷ USD) trong 10 năm, bắt đầu từ năm nay, để mở rộng các trung tâm dữ liệu của mình tại Nhật Bản. Thông báo này được hãng đưa ra vào ngày 18/4 vừa qua, cơ sở chủ yếu ở hai khu vực mà Oracle hiện đang vận hành các trung tâm dữ liệu là Tokyo và Osaka.
15:00 | 11/04/2024
Vừa qua, phiên bản mới nhất của FortiOS được công bố. Đây là hệ điều hành duy nhất hội tụ liền mạch mạng và bảo mật, cùng với các bản cập nhật Fortinet Security Fabric mang đến những tính năng AI tạo sinh thế hệ mới, khả năng bảo vệ dữ liệu, quản lý dịch vụ và tác nhân hợp nhất.
10:00 | 06/11/2023
Công ty AI mới xAI do Elon Musk sáng lập chuẩn bị ra mắt chatbot của mình, có tên là Grok. Chatbot mới này sẽ được phát hành dành cho người dùng đăng ký gói Premium+ của X với giá 16 USD mỗi tháng.
09:00 | 03/10/2023
Ngày 22/9 vừa qua, Apple đã phát hành bản cập nhật an ninh khẩn cấp để vá 3 lỗ hổng zero-day đang bị khai thác trong các cuộc tấn công nhắm vào người dùng iPhone và Mac, qua đó nâng tổng số lỗ hổng zero-day được vá trong năm nay lên con số 16. Các nhà nghiên cứu bảo mật tin rằng đó là sản phẩm của các nhà cung cấp phần mềm gián điệp thương mại.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Apple đang đàm phán để sử dụng công cụ Gemini AI của Google trên iPhone, tạo tiền đề cho một thỏa thuận mang tính đột phá trong ngành công nghiệp AI.
11:00 | 26/04/2024
