Oracle Property Management 소프트웨어의 버그로 인해 위험에 처한 호텔

Oracle Property Management 소프트웨어의 버그로 인해 위험에 처한 호텔

타임 스탬프 : 3 년 2023 월 9 일 오전 05시 XNUMX 분
Oracle 자산 관리 소프트웨어 PlatoBlockchain Data Intelligence의 버그로 인해 위험에 처한 호텔. 수직 검색. 일체 포함.

Oracle의 Opera 자산 관리 시스템을 사용하는 전 세계 호텔 업계의 수천 개 호텔 및 기타 기업은 Oracle이 2023년 XNUMX월 보안 업데이트에서 공개한 소프트웨어의 결함을 신속하게 패치하기를 원할 수 있습니다.

Oracle은 취약점에 대해 설명했습니다(CVE-2023-21932) 높은 권한을 가진 인증된 공격자만이 악용할 수 있는 Oracle Hospitality Opera 5 Property Services 제품의 복잡한 버그입니다. 공급업체는 공격자가 원격으로 이를 악용할 수 없다는 명백한 사실을 기반으로 CVSS 척도에서 7.2의 중간 심각도 등급을 지정했습니다.

잘못된 평가

그러나 실제로 결함을 발견하고 Oracle에 보고한 연구원들은 회사의 취약점 특성에 동의하지 않으며 그것이 틀렸다고 말했습니다.

블로그 게시물에서 공격 표면 관리 회사인 Assetnote와 다른 두 조직의 연구원들은 그들이 달성한 성과를 말했습니다. 사전 인증 원격 코드 실행 작년 라이브 해킹 이벤트에 참가할 때 버그를 사용했습니다. 연구원들은 그 사건의 목표가 미국에서 가장 큰 리조트 중 하나라고 설명했습니다.

Assetnote의 공동 창립자이자 CTO인 Shubham Shah는 이번 주 블로그 게시물에서 “오라클의 주장에도 불구하고 이 취약점은 악용하기 위해 인증이 필요하지 않습니다.”라고 말했습니다. “이 취약점의 CVSS 점수는 10.0이어야 합니다.”

오라클은 연구원들의 취약점 평가에 대한 논평을 요청한 Dark Reading 요청에 응답하지 않았습니다.

Micros Opera라고도 알려진 Oracle Opera는 전 세계 호텔 및 호텔 체인이 예약, 고객 서비스, 회계 및 기타 운영을 중앙에서 관리하는 데 사용하는 자산 관리 시스템입니다. 고객으로는 Wyndham Group, Radisson Hotels, Accor Hotels, Marriott 및 IHG와 같은 주요 체인이 있습니다.

소프트웨어를 악용하는 공격자는 잠재적으로 개인 식별 정보, 신용 카드 데이터 및 고객이 소유한 기타 민감한 정보에 액세스할 수 있습니다. CVE-2023-21932는 Opera 5.6 Property Services 플랫폼 버전 5에 존재합니다.

오라클은 이 취약점을 악용하는 공격자가 Opera 5 Property Services가 액세스하는 모든 데이터에 접근할 수 있다고 밝혔습니다. 또한 공격자는 시스템의 최소한 일부 데이터에 대한 액세스를 업데이트, 삽입 또는 삭제할 수 있습니다.

작업 순서 버그

HackerOne 플랫폼의 버그 사냥꾼 Shah는 Assetnote의 엔지니어링 책임자인 Sean Yeoh, PwC Australia의 펜 테스터인 Brendan Scarvell 및 적의 CISO인 Jason Haddix와 협력하여 Opera의 소스 코드 분석을 수행하는 동안 취약점을 발견했습니다. 에뮬레이션 회사 BuddoBot.

Shah와 다른 연구원들은 CVE-2023-21932가 두 개의 특정 변수에 대해 암호화된 페이로드를 삭제한 다음 이를 해독하는 Opera 코드 세그먼트와 관련이 있는 것으로 식별했습니다. 이러한 유형의 "작업 순서" 버그는 공격자가 어떠한 삭제도 발생하지 않고 변수를 통해 모든 페이로드에 몰래 들어갈 수 있는 방법을 제공한다고 연구원들은 말했습니다.

"작업 순서 버그는 정말 드물며 이 버그는 이 버그 클래스의 매우 명확한 예입니다." 샤가 트윗했다 이번 주.

"우리는 이 버그를 활용하여 라이브 해킹 이벤트를 위해 미국 최대 리조트 중 하나에 액세스할 수 있었습니다."

연구원들은 사전 인증 실행을 달성하기 위해 Opera의 특정 제어를 극복하기 위해 취한 단계를 간략하게 설명했으며, 이들 중 어느 것도 소프트웨어에 대한 특별한 액세스나 지식이 필요하지 않았다는 점을 지적했습니다.

“이 취약점을 악용하기 위해 수행된 모든 단계는 인증 없이 수행되었습니다.”라고 그들은 썼습니다. 그들은 오라클이 버그에 대한 통보를 받은 후 버그를 공개하는 데 거의 1년이 걸렸다고 주장했습니다.

보안 연구원 Kevin Beaumont는 Assetnote 블로그에 대해 공격자가 Opera를 사용하여 호텔 및 기타 개체를 찾는 데 사용할 수 있는 Shodan 쿼리가 여러 개 있다고 말했습니다. Beaumont는 Shodan을 통해 발견한 모든 자산에는 해당 결함에 대한 패치가 적용되지 않았다고 말했습니다. “어느 단계에서는 Oracle 제품 보안에 대해 논의해야 합니다.” 보몬트가 말했다..

Shah와 다른 연구원에 따르면 CVE-2023-21932는 Oracle Opera의 많은 결함 중 하나일 뿐이며 적어도 일부는 회사에서 해결되지 않았습니다. “이 내용을 절대로 인터넷에 노출하지 마세요”라고 그들은 썼습니다.

타임 스탬프 :

더보기 어두운 독서