Bản vá lỗ hổng được phát hành như là một phần của bản cập nhật vào tháng 1/2018 của Oracle nhằm vá lỗi cho tổng cộng 238 lỗ hổng bảo mật trong các sản phẩm khác nhau.
Theo công bố công khai của Công ty an ninh ERPScan, công ty đã phát hiện và báo cáo vấn đề này, dịch vụ ứng dụng EGroway của MICROS (Oracle) được triển khai bởi hơn 300.000 nhà bán lẻ và kinh doanh trên toàn thế giới dễ bị tấn công vào thư mục.
Nếu bị khai thác, lỗ hổng (CVE-2018-2636) có thể cho phép kẻ tấn công đọc các dữ liệu nhạy cảm và nhận thông tin về các dịch vụ khác nhau từ các máy trạm MICROS dễ bị tổn thương mà không có chứng thực.
Sử dụng lỗ hổng xuyên qua thư mục, một nội gián trái phép có quyền truy cập vào ứng dụng dễ bị tổn thương có thể đọc các tập tin nhạy cảm từ máy trạm MICROS, bao gồm các bản ghi dịch vụ và các tệp cấu hình.
Theo các nhà nghiên cứu giải thích, hai tệp tin nhạy cảm này được lưu trữ trong bộ nhớ ứng dụng - SimphonyInstall.xml, hoặc Dbconfix.xml- chứa tên người dùng và mật khẩu được mã hóa để kết nối với cơ sở dữ liệu.
Các nhà nghiên cứu cảnh báo: kẻ tấn công có thể lấy tên người dùng DB và mật khẩu, bẻ khóa và truy cập vào DB với tất cả dữ liệu kinh doanh. Có một số cách khai thác nó, dẫn đến sự thỏa hiệp toàn bộ hệ thống MICROS.
Nếu ngư iệp to tin rằng việc truy cập vào POS URL là một ktin rằnsnap, các tin t cácó thể tìm thấy quy mô kỹ thuật số hoặc các thiết bị khác sử dụng RJ45, kết nối nó với Raspberry PI và quét mạng nội bộ.
Công ty an ninh ERPScan cũng đã phát hành một PoC khai thác dựa trên Python, nếu thực hiện trên một máy chủ MICROS có l thác , sẽ gửi một yêu cầu độc hại để có được nội dung của các tập tin nhạy cảm để đáp ứng.
Ngoài ra, bản cập nhật tháng 1/2018 của Oracle cũng cung cấp các bản vá cho lỗ hổng bộ vi xử lý Spectre và Meltdown Intel ảnh hưởng đến các sản phẩm Oracle.
Minh Thư
Theo The Hacker News
09:00 | 01/04/2019
14:00 | 03/07/2020
15:00 | 21/07/2020
10:00 | 26/04/2024
10:00 | 30/10/2024
Google sẽ tích hợp công nghệ trí tuệ nhân tạo (AI) tiên tiến vào Android 15, tạo ra lớp phòng thủ mới giúp người dùng tránh xa nguy cơ từ các ứng dụng độc hại. Tính năng này hứa hẹn nâng cao đáng kể khả năng bảo mật trên hệ điều hành di động phổ biến nhất thế giới.
15:00 | 23/10/2024
Trong thời đại số hóa hiện nay, giao dịch trực tuyến ngày càng phổ biến, việc bảo vệ thông tin cá nhân trở thành một yếu tố quan trọng hơn bao giờ hết. Trung tâm Thuốc Central Pharmacy đã tiên phong trong việc đảm bảo an toàn thông tin cho khách hàng khi được Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) trao tặng chứng nhận Website Tín nhiệm mạng cơ bản. Đây là minh chứng rõ nét cho cam kết của Central Pharmacy trong việc xây dựng một môi trường trực tuyến an toàn và bảo mật, mang đến sự yên tâm cho người dùng khi giao dịch dược phẩm trực tuyến.
07:00 | 10/09/2024
Google vừa phát đi cảnh báo về một lỗ hổng bảo mật nghiêm trọng trên hệ điều hành Android, hiện đang bị khai thác tích cực. Nếu khai thác thành công, lỗ hổng này sẽ cho phép kẻ tấn công leo thang đặc quyền trên thiết bị mà không cần bất kỳ quyền thực thi bổ sung nào.
13:00 | 27/08/2024
Nhà sáng lập kiêm CEO của Telegram - Pavel Durov đã bị cảnh sát Pháp bắt giữ. Vụ việc có liên quan đến cáo buộc thiếu kiểm soát hoạt động tội phạm trên ứng dụng này.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Tập đoàn Meta, chủ sở hữu của Facebook và Instagram đang phải đối mặt với vụ kiện mới tại Nhật Bản vì không ngăn chặn những quảng cáo lừa đảo tiền đầu tư.
07:00 | 17/11/2024
