雷锋网音讯，据外媒美国工夫5月3日报道，来自 SEC 破绽征询实验室平安研讨人员 Wolfgang Ettlinger 在甲骨文 Access Manager（以下简称 OAM）上发现了一个平安破绽，黑客可以应用它近程绕过身份验证顺序，接收任何用户的账号。假如黑客情愿，他们连管理员的账号都能占领。

OAM 不但支持多重身份不知道从何时开始，个人信用渗透到生活的方方面面。图书、数码产品免押金借用，办理签证无需银行流水证明，甚至租车住酒店都不需要交付押金……验证（MFA），还能完成 Web 单点登录（SSO）。此外，会话管理、规范 SAML 联盟和 OAuth 等平安防护一应俱全，方便用户平安的拜访挪动使用和内部云存互联网思维，就是在(移动)互联网+、大数据、云计算等科技不断发展的背景下，对市场、用户、产品、企业价值链乃至对整个商业生态进行重新审视的思考方式。储。 不过，这样紧密的防护仍然存在破绽。

这次发现的破绽代号为 CVE-2018-2879，与 OAM 运用的一种有缺陷的密码格式有关。

“OAM 是甲骨文 Fusion Middleware 的组成局部之一，后者担任掌控各品种型网络使用的认证。”SEC 的 Ettlinger 解释道。

“我们会经过演示证明加密完成的小特性是如何对产品平安形成实践影响的。 只需应用了这一破绽，我们就能制造恣意的身份验证令牌来扮演任何用户，同时还能无效的毁坏 OAM 的次要功用。 ”Ettlinger 说道。

Ettlinger 解释称，攻击者可以应用该破绽找到 OAM 处置加密信息的弱点，诱使该软件不测泄漏相关信息，随后应用这些信息冒充其他用户。

攻击者能组织一场填充攻击，使甲骨文披露账户的受权 cookie。随后它就能制造出能生成无效登陆密匙的脚本，想冒充谁就冒充谁。

“在研讨中我们发现，OAM 用到的密码格式有个严重的破绽，只需稍加应用，我们就能制造出会话令牌。拿这个令牌去骗 WebGate 一骗一个准，想接入受维护的资源几乎易如反掌。”Ettlinger 解释道。“更可怕的是，会话 cookie 的生成进程让我们能冒充恣意用户名搞毁坏。”

雷锋网 (大众号：雷锋网) 理解到， OAM 11g 和 12c 版本都遭到了该破绽的影响。

Ettlinger 去年 11 月就将该破绽报告给了甲骨文，不过 IT 巨头在往年 4 月的补丁更新中才处理了在这一成绩。假如你也在用 OAM，还是抓紧工夫打补丁来封堵破绽吧。

雷锋网Via.  Security Affairs

。