ShinyHunters-Exploited Oracle PeopleSoft Zero-Day Turns Out to Be Three Chained Flaws

In­ves­ti­ga­do­res ex­pli­ca­ron que un pro­ble­ma crí­ti­co en Ora­cle Peo­ple­Soft, el cual ha sido ex­plo­ta­do por ShinyHun­ters, en reali­dad cons­ta de tres fa­llas com­bi­na­das y no de una sola. Ora­cle so­lu­cio­nó estas vul­ne­ra­bi­li­da­des bajo un único iden­ti­fi­ca­dor en el mes de junio, aun­que el equi­po que las re­por­tó in­di­có que está tra­ba­jan­do con la com­pa­ñía para asig­nar­les una clave CVE in­de­pen­dien­te a cada una.

El pro­ble­ma prin­ci­pal ra­di­ca en una fal­si­fi­ca­ción de pe­ti­cio­nes del lado del ser­vi­dor (SSRF) que per­mi­te lle­gar a una in­ter­faz de ad­mi­nis­tra­ción in­ter­na, ya que el sis­te­ma con­fía de forma pre­de­ter­mi­na­da en su pro­pia di­rec­ción de bucle in­ver­ti­do. Esto po­si­bi­li­ta la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción, afec­tan­do a de­ter­mi­na­das ver­sio­nes del soft­wa­re me­dian­te ata­ques de red que per­mi­ten a un ata­can­te tomar el con­trol del ser­vi­dor.

El grupo ShinyHun­ters apro­ve­chó esta vul­ne­ra­bi­li­dad como un cero-day antes de que se lan­za­ra la so­lu­ción ofi­cial, ata­can­do ini­cial­men­te a ins­ti­tu­cio­nes edu­ca­ti­vas y pos­te­rior­men­te am­plian­do sus ope­ra­cio­nes a otros sec­to­res a nivel mun­dial. Las in­ves­ti­ga­cio­nes de­ta­llan que los ata­can­tes lo­gra­ron eva­dir re­glas de cor­ta­fue­gos de apli­ca­cio­nes web me­dian­te la co­di­fi­ca­ción de ca­rac­te­res en las rutas de ac­ce­so, lo que evi­den­cia que las de­fen­sas ba­sa­das en rutas no sus­ti­tu­yen a la apli­ca­ción de los par­ches.

Las re­co­men­da­cio­nes de se­gu­ri­dad in­clu­yen ins­ta­lar el par­che de Ora­cle, des­ac­ti­var o eli­mi­nar el ser­vi­cio del cen­tro de ad­mi­nis­tra­ción si no es po­si­ble ac­tua­li­zar de in­me­dia­to, y asu­mir que los equi­pos afec­ta­dos están com­pro­me­ti­dos, por lo que se acon­se­ja bus­car web shells y rotar cre­den­cia­les. Las fuen­tes con­sul­ta­das no acla­ran si la apli­ca­ción del par­che por sí sola eli­mi­na el ac­ce­so de un ata­can­te que ya se en­cuen­tre den­tro del sis­te­ma.