搜索

[15512] 2020-06-19_OracleEBS的新漏洞可以更改财务记录

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-06-19_OracleEBS的新漏洞可以更改财务记录 O r a c l e   E B S 的 新 漏 洞 可 以 更 改 财 务 记 录 日 影 飞 趣   F r e e B u f   2 0 2 0 - 0 6 - 1 9 O r a c l e 解 决 了 其 电 子 商 务 套 件 （ 解 决 了 其 电 子 商 务 套 件 （ E B S ） 业 务 管 理 解 决 方 案 中 的 两 个 安 全 漏 洞 ， 这 些 漏 洞 可 能 使 攻 击 者 能 够 进 行 ） 业 务 管 理 解 决 方 案 中 的 两 个 安 全 漏 洞 ， 这 些 漏 洞 可 能 使 攻 击 者 能 够 进 行 广 泛 的 恶 意 活 动 ， 包 括 篡 改 组 织 的 财 务 记 录 。 广 泛 的 恶 意 活 动 ， 包 括 篡 改 组 织 的 财 务 记 录 。 O r a c l e   E B S 当 前 在 全 球 成 千 上 万 的 组 织 中 使 用 ， 其 总 帐 管 理 系 统 （ O r a c l e   G e n e r a l   L e d g e r ） 是 一 种 自 动 财 务 处 理 软 件 ， 可 作 为 会 计 信 息 的 存 储 库 ， 并 作 为 E - B u s i n e s s   S u i t e （ 该 公 司 的 集 成 应 用 程 序 套 件 ） 的 一 部 分 提 供 ， 该 套 件 涵 盖 企 业 资 源 计 划 （ E R P ） ， 供 应 链 管 理 （ S C M ） ， 和 客 户 关 系 管 理 （ C R M ） ， 用 户 可 以 将 其 实 施 到 自 己 的 业 务 中 。 总 帐 管 理 系 统 还 可 以 用 于 生 成 公 司 财 务 报 告 以 及 进 行 审 计 ， 以 确 保 公 司 能 遵 守 2 0 0 2 年 的 S O X 法 案 。 然 而 企 业 网 络 安 全 公 司 O n a p s i s 在 T h e   H a c k e r   N e w s 上 分 享 的 报 告 中 ， 披 露 了 O r a c l e 电 子 商 务 套 件 （ E B S ） 中 的 存 在 的 一 些 技 术 漏 洞 细 节 。 其 中 这 个 被 称 为 “   B i g D e b I T   ” 的 漏 洞 ， 可 能 允 许 攻 击 者 执 行 广 泛 的 入 侵 活 动 ， 其 中 就 包 括 篡 改 公 司 的 财 务 记 录 。 好 在 C V E - 2 0 2 0 - 2 5 8 6 和 C V E - 2 0 2 0 - 2 5 8 7 以 及 被 称 为 “   B i g D e b I T ” 的 漏 洞 已 被 O r a c l e 公 司 于 2 0 2 0 年 1 月 修 复 。 但 是 该 公 司 表 示 ， 截 至 目 前 为 止 ， 约 有 5 0 ％ 的 O r a c l e   E B S 客 户 尚 未 更 新 漏 洞 补 丁 ， 所 以 依 然 有 大 量 易 受 攻 击 的 O r a c l e 系 统 暴 露 在 网 上 。 如 果 您 的 业 务 运 营 和 敏 感 数 据 的 安 全 性 依 赖 于 O r a c l e 的 E - B u s i n e s s   S u i t e （ E B S ） ， 强 烈 建 议 立 即 进 行 评 估 测 试 ， 以 确 保 不 会 受 到 这 些 涉 及 财 务 风 险 漏 洞 的 影 响 ， 并 及 时 下 载 该 软 件 的 最 新 版 本 。
研 究 人 员 称 ， 不 良 行 为 者 可 能 会 利 用 这 些 安 全 漏 洞 来 针 对 会 计 工 具 （ 例 如 G e n e r a l   L e d g e r ） ， 来 窃 取 敏 感 信 息 并 进 行 财 务 欺 诈 ， 并 且 不 会 留 下 任 何 痕 迹 。 O n a p s i s 证 明 ： “ 一 旦 财 务 报 告 期 结 束 ， 财 务 数 据 就 不 会 更 改 。 如 果 攻 击 者 在 关 闭 期 间 和 审 计 期 间 修 改 总 账 报 告 ， 将 对 公 司 及 其 合 规 流 程 造 成 严 重 损 害 ” ， 即 使 在 财 务 报 告 期 结 束 后 ， 未 经 身 份 验 证 的 远 程 攻 击 者 也 可 以 利 用 B i g D e b I T 漏 洞 来 更 改 财 务 报 告 ， 从 而 绕 过 现 有 的 安 全 解 决 方 案 并 隐 藏 其 活 动 。 “ 公 司 需 要 意 识 到 ， O r a c l e   E B S 的 系 统 易 受 此 类 入 侵 ， 当 前 的 G R C 工 具 和 其 他 传 统 安 全 方 法 （ 防 火 墙 ， 访 问 控 制 ， S o D 和 其 他 方 法 ） 都 无 法 有 效 地 防 止 攻 击 。 ” 黑 客 如 果 利 用 该 漏 洞 篡 改 数 据 ， 用 户 很 难 （ 甚 至 不 可 能 ） 发 现 到 底 是 黑 客 篡 改 的 还 是 实 际 业 务 的 数 值 ， 除 非 通 过 非 常 广 泛 的 内 部 或 外 部 审 核 找 到 证 据 ， 才 能 解 释 为 什 么 财 务 余 额 与 系 统 数 据 不 匹 配 ， 所 以 请 使 用 这 个 系 统 的 用 户 不 要 掉 以 轻 心 ， 建 议 马 上 对 数 据 进 行 备 份 ， 并 采 取 相 应 的 安 全 措 施 。 参 考 链 接 h t t p s : / / s e c u r i t y a f f a i r s . c o / w o r d p r e s s / 1 0 4 8 4 0 / h a c k i n g / b i g d e b i t - f l a w s - o r a c l e - e b s . h t m l * 本 文 作 者 本 文 作 者 : 日 影 飞 趣 ， 转 载 请 注 明 来 自 日 影 飞 趣 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理