Oracle Fusion中间件漏洞被广泛利用

周一，美国网络安全和基础设施安全局(CISA)将一个影响Oracle Fusion中间件系统的关键缺陷添加到其已知利用漏洞(KEV)目录中。

CISA确认该漏洞已被广泛利用，它允许未经身份验证的攻击者通过HTTP访问网络，从而破坏Oracle access Manager。针对此漏洞的成功攻击可能导致程序被接管。

由于这些因素，漏洞(跟踪CVE-2021-35587)被赋予了9.8的CVSS 3.1基础评分。

Vulcan Cyber的高级技术工程师Mike Parkin评论道:“CISA已经变得更加积极主动，在构成威胁的漏洞中添加它们。当这种脆弱性在野外被积极利用时，这一点尤其明显，就像这些情况一样。我们可以预期，随着他们在处理他们所保护的组织面临的威胁时采取更积极的立场，这种情况会发生得更多。”

Oracle在今年1月发布的关键补丁更新建议中指出了这一漏洞。事实上，CISA现在正在将其添加到其KEV目录中，这意味着一个或多个系统没有在此时间范围内充分更新，从而使攻击者能够利用该漏洞。

Synopsys软件完整性集团的副首席顾问Jamie Boote说:“每当这样的故事出现时，安全团队应该利用它们作为一个机会来游说安全预算和优先级。”

当美国政府承认已经存在了近一年的未修补漏洞是一个问题时，它可能是艰难的安全团队急需的帮助。

在同一份公告中，CISA还在KEV目录中添加了Chrome web浏览器(CVE-2022-4135)的堆缓冲区溢出漏洞，谷歌确认该漏洞也在野外被利用，并在最近进行了修补。

Netenrich的主要威胁猎人约翰•班伯内克(John Bambenek)表示：“近年来，浏览器被利用的情况有所下降。然而，它们的重要性只会增加，因为几乎每个人都是他们在互联网上做的每件事的主要接口。每当出现积极的剥削行为时，迅速更新机器的重要性只会增加。我唯一真正担心的是，三周的最后期限让攻击者有足够的时间在此期间取得胜利。必须缩短这段时间。”

两个月前，Wiz的安全云专家在Oracle cloud Infrastructure (OCI)中发现了一个单独的漏洞，该漏洞允许未经授权的访问所有用户的云存储卷。