Oracle ออกแพตช์อุดช่องโหว่ Default Account (หรือ Backdoor Account) บน Oracle Identity Manager ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าควบคุมระบบได้โดยที่ไม่ต้องพิสูจน์ตัวตนแต่อย่างใด แนะนำให้ผู้ดูแลระบบรีบอัปเดตแพตช์โดยด่วนที่สุด

Credit: Pavel Ignatov/ShutterStock

ช่องโหว่นี้มีรหัส CVE-2017-10151 เป็นช่องโหว่ Default Account หรือก็คือชื่อบัญชีที่ไม่จำเป็นต้องใช้รหัสผ่านในการยืนยันตัวตน หรือใช้รหัสผ่านที่ถูก Hard-code ลงในระบบ ส่วนใหญ่มักใช้เพื่อจุดประสงค์ในการทำ Debugging ซึ่งชื่อบัญชีเหล่านี้ถ้าเปิดให้เข้าถึงได้จากภายนอกหรืออินเทอร์เน็ตจะก่อให้เกิดอันตรายเป็นอย่างมาก ผู้ไม่ประสงค์ดีอาจเข้าควบคุมระบบทั้งหมดได้ทันที ส่งผลให้ Default Account รู้จักกันดีในนาม Backdoor Account

ช่องโหว่ Default Account นี้ค้นพบบน Oracle Identity Manager โซลูชันสำหรับบริหารจัดการผู้ใช้ซึ่งช่วยให้ผู้ดูแลระบบสามารถควบคุมการเข้าถึงทรัพยากรต่างๆ ของพนักงานในองค์กรได้ เป็นช่องโหว่ที่ช่วยให้แฮ็คเกอร์สามารถเข้าควบคุมระบบ Oracle Identity Manager จากระยะไกลได้โดยไม่ต้องพิสูจน์ตัวตน ส่งผลให้เป็นช่องโหว่ที่มีระดับความรุนแรงตาม CVSSv3 ถึงระดับ 10 เต็ม 10 (รุนแรงระดับวิกฤต)

Oracle Identity Manger เวอร์ชันที่ได้รับการยืนยันแล้วว่า ได้รับผลกระทบ คือ 11.1.1.7, 11.1.1.9, 11.1.2.1.0, 11.1.2.2.0, 11.1.2.3.0 และ 12.2.1.3.0 อย่างไรก็ตาม เวอร์ชันก่อนหน้านี้อาจได้รับผลกระทบด้วยเช่นกัน แนะนำให้ผู้ดูแลระบบรีบอัปเดตแพตช์ล่าสุดเพื่ออุดช่องโหว่โดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/oracle-fixes-default-account-issue-rated-10-out-of-10-on-severity-scale/

CR: https://www.techtalkthai.com/oracle-emergency-patch-default-account-vulnerability/