Bản vá lỗ hổng được phát hành như là một phần của bản cập nhật vào tháng 1/2018 của Oracle nhằm vá lỗi cho tổng cộng 238 lỗ hổng bảo mật trong các sản phẩm khác nhau.
Theo công bố công khai của Công ty an ninh ERPScan, công ty đã phát hiện và báo cáo vấn đề này, dịch vụ ứng dụng EGroway của MICROS (Oracle) được triển khai bởi hơn 300.000 nhà bán lẻ và kinh doanh trên toàn thế giới dễ bị tấn công vào thư mục.
Nếu bị khai thác, lỗ hổng (CVE-2018-2636) có thể cho phép kẻ tấn công đọc các dữ liệu nhạy cảm và nhận thông tin về các dịch vụ khác nhau từ các máy trạm MICROS dễ bị tổn thương mà không có chứng thực.
Sử dụng lỗ hổng xuyên qua thư mục, một nội gián trái phép có quyền truy cập vào ứng dụng dễ bị tổn thương có thể đọc các tập tin nhạy cảm từ máy trạm MICROS, bao gồm các bản ghi dịch vụ và các tệp cấu hình.
Theo các nhà nghiên cứu giải thích, hai tệp tin nhạy cảm này được lưu trữ trong bộ nhớ ứng dụng - SimphonyInstall.xml, hoặc Dbconfix.xml- chứa tên người dùng và mật khẩu được mã hóa để kết nối với cơ sở dữ liệu.
Các nhà nghiên cứu cảnh báo: kẻ tấn công có thể lấy tên người dùng DB và mật khẩu, bẻ khóa và truy cập vào DB với tất cả dữ liệu kinh doanh. Có một số cách khai thác nó, dẫn đến sự thỏa hiệp toàn bộ hệ thống MICROS.
Nếu ngư iệp to tin rằng việc truy cập vào POS URL là một ktin rằnsnap, các tin t cácó thể tìm thấy quy mô kỹ thuật số hoặc các thiết bị khác sử dụng RJ45, kết nối nó với Raspberry PI và quét mạng nội bộ.
Công ty an ninh ERPScan cũng đã phát hành một PoC khai thác dựa trên Python, nếu thực hiện trên một máy chủ MICROS có l thác , sẽ gửi một yêu cầu độc hại để có được nội dung của các tập tin nhạy cảm để đáp ứng.
Ngoài ra, bản cập nhật tháng 1/2018 của Oracle cũng cung cấp các bản vá cho lỗ hổng bộ vi xử lý Spectre và Meltdown Intel ảnh hưởng đến các sản phẩm Oracle.
Minh Thư
Theo The Hacker News
09:00 | 01/04/2019
14:00 | 03/07/2020
15:00 | 21/07/2020
10:00 | 26/04/2024
09:00 | 23/01/2025
Microsoft vừa phát hành bản Patch Tuesday tháng 01/2025 để giải quyết 161 lỗ hổng bảo mật. Đáng lưu ý, bản ván lần này khắc phục 8 lỗ hổng zero-day, trong đó 3 lỗ hổng đang bị khai thác trong thực tế.
10:00 | 20/11/2024
Theo tài liệu thực thi pháp luật gửi đến lãnh đạo các cơ quan hành pháp, cảnh sát và các chuyên gia pháp y trên khắp nước Mỹ do 404Media thu thập được, những chiếc iPhone được bảo quản an toàn vẫn có thể tự khởi động lại, gây khó khăn cho việc điều tra và thu thập chứng cứ.
14:00 | 15/11/2024
Microsoft vừa phát hành bản vá cho 89 lỗ hổng trên toàn hệ sinh thái Windows, trong đó có nhiều lỗ hổng nghiêm trọng có điểm CVSS cao. Hãng này kêu gọi người dùng cần khẩn trương cập nhật bản vá để giảm thiểu rủi ro mất an toàn thông tin.
15:00 | 29/10/2024
Đầu tháng 10 vừa qua, Synopsys Software Integrity Group đã đánh dấu một bước ngoặt mới trong hành trình phát triển của mình với việc chính thức đổi tên thương hiệu thành Black Duck (Black Duck® Software, Inc.). Black Duck hứa hẹn sẽ mang đến những giải pháp bảo mật ứng dụng toàn diện, mạnh mẽ và đáng tin cậy, giúp các tổ chức và doanh nghiệp an toàn trên hành trình chuyển đổi số.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Apple đã phát hành bản cập nhật khẩn cấp iOS 18.3.1 và iPadOS 18.3.1 cho người dùng iPhone, iPad để vá lỗ hổng zero-day CVE-2025-24200 có thể bị khai thác trong các cuộc tấn công đặc biệt tinh vi nhằm vào những người dùng cụ thể.
13:00 | 14/02/2025
