甲骨文耗时6个月修补fusion middleware的重大漏洞-尊龙凯时平台入口

安全研究人员揭露甲骨文在今年1月及4月，所分别修补2项影响fusion middleware的重大漏洞细节，并指后者花了6个月才修复。

vng公司的peterjson和vnpt的nguyen jang去年10月发现fusion middleware 2项漏洞，分别为影响oracle jdeveloper内adf faces framework的前远端程序码执行（pre-auth rce）漏洞，以及影响oracle access manager（oam）的伺服器端请求伪造（server side request forgery，ssrf）漏洞。

研究人员当月已向甲骨文揭露2漏洞，但甲骨文今年才修补，因此漏洞皆列为2022年。ssrf漏洞命名为cve-2022-21497，甲骨文今年1月先以第1季安全更新修补oam中。而rce漏洞则被命名cve-2022-21445，但是要等到4月的第2季安全更新修补。距离当初通报已是6个月的事，也超出了一般标准的90天，他们认为这家软体巨人的动作太迟缓。

adf faces框架包括超过150个支援ajax的javaserver faces（jsf）元件及开发框架，可用于在fusion middleware上开发应用程序。研究人员最初在测试攻击中证实oracle bi（oracle business intelligence）的前远端程序码执行（pre-auth rce）漏洞，该漏洞可让未经授权的攻击者经由http连线呼叫开采，最严重可接管jdeveloper。这项漏洞风险值达9.8。

但研究人员最后发现，该漏洞还影响多个甲骨文产品，包括oracle enterprise manager、identity management、soa suite、webcenter portal、application testing suite、transportation management。此外，而且任何以adf faces framework开发的网站也会受影响，包括许多甲骨文线上系统及oracle cloud infrastructure。

fusion middleware的oracle access manager（oam）的伺服器端请求伪造（server side request forgery，ssrf）漏洞则是jang找到。oam是单一签入（sso）元件。这漏洞可和cve-2022-21497串联起来，在oam达成远端程序码执行，让未经授权的攻击者可经由oracle web services/oam新增、删除或修改资料，风险值为8.1。研究人员强调这十分严重，因为vmware、华为及高通都使用oam的sso，且甲骨文许多oracle线上服务也使用oam作为sso。

adf framework及oam两漏洞皆影响oracle fusion middleware 12.2.1.3.0 和12.2.1.4.0版。尽管研究人员批评甲骨文动作太慢，但甲骨文已释出更新版，研究人员也呼吁企业用户尽速安装最新版本。