【漏洞预警】Oracle Access Manager 未授权远程代码执行漏洞

1. 通告信息

近日，安识科技A-Team团队监测到一则Oracle Access Manager 组件存在未授权远程代码执行漏洞的信息，并成功复现该漏洞。漏洞威胁等级：严重。该漏洞是由于 Oracle Access Manager未对 HTTP请求进行有效的验证，攻击者可利用该漏洞在未授权的情况下，构造恶意数据进行远程代码执行漏洞攻击，最终获取服务器最高权限。

对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。  

2. 漏洞概述

CVE: CVE-2021-35587

简述：Oracle Access Manager是Oracle公司出品的一款单点登陆认证管理系统。提供了基于Web的身份4管理，以及对运行于异类环境中的Web应用程序和资源的访问控制。它提供用户和组管理、委托管理、口令管理和自助服务功能，以便在复杂的、以目录为中心的环境中管理大量用户。

3. 漏洞危害

攻击者可利用该漏洞在未授权的情况下，构造恶意数据进行远程代码执行攻击，最终获取服务器最高权限。

4. 影响版本

目前受影响的版本：

Oracle Access Manager 11.1.2.3.0

Oracle Access Manager 12.2.1.3.0

Oracle Access Manager 12.2.1.4.0

5. 解决方案

当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：https://www.oracle.com/security-alerts/cpujan2022.html

6. 时间轴

【-】2022年3月23日 安识科技A-Team团队监测到Oracle Access Management漏洞信息。

【-】2022年3月24日 安识科技A-Team团队根据漏洞信息分析

【-】2022年3月25日 安识科技A-Team团队发布安全通告