오라클 Identity Manager를 하이잭하도록 허용하는 매우 치명적인 취약점 (CVSS 점수 10) 발견

Highly Critical Flaw (CVSS Score 10) Lets Hackers Hijack Oracle Identity Manager

오라클의 기업용 identity 관리 시스템에서 인증 되지 않은 공격자들이 원격으로 쉽게 악용해 시스템 전체를 제어할 수 있도록 허용하는 매우 치명적인 취약점이 발견 되었습니다.

이 취약점은 CVE-2017-10151로 등록 되었으며, CVSS 점수 10점으로 가장 높은 점수를 얻었습니다. 또한 사용자와의 어떠한 상호작용 없이도 쉽게 악용이 가능한 것으로 나타났습니다.

이 취약점은 Oracle Fusion Middleware의 Oracle Identity Manager(OIM) 컴포넌트에 영향을 미칩니다. Oracle Fusion Middleware는 기업 내의 사용자의 접근 권한을 자동으로 관리하는 기업용 ID 관리 시스템입니다.

보안 결점은 동일한 네트워크 상에 있는 인증 되지 않은 공격자가 Oracle Identity Manager를 해킹하기 위해 HTTP를 통해 접근할 수 있는 “디폴트 계정”때문에 발생합니다.

오라클은 악용을 방지하기 위해 아직까지 이 취약점에 대한 자세한 내용은 공개하지 않았지만, 이 “디폴트 계정”은 하드코딩 된 비밀 계정이거나 패스워드가 필요없는 계정일 것으로 추측 됩니다.

오라클은 “이 취약점은 아무런 인증 없이 원격으로 악용이 가능합니다. 즉, 사용자 크리덴셜을 요구하지 않는 네트워크를 통해서 악용될 수 있습니다.”고 밝혔습니다.

쉽게 악용이 가능한 이 취약점은 오라클의 Identity Manager 버전 11.1.1.7, 11.1.1.9, 11.1.2.1.0, 11.1.2.2.0, 11.1.2.3.0, 12.2.1.3.0에 영향을 미칩니다.

오라클은 현재 모든 버전에 대한 패치를 발행했기 때문에, 해커들이 이 취약점을 악용해 당신의 기업을 노리기 전 패치를 서둘러 설치하는 것이 좋습니다.

오라클은 “이 취약점의 심각성을 감안할 때, 오라클은 고객들에게 즉시 업데이트를 적용시키기를 권고합니다.”고 밝혔습니다.

Premier Support나 Extended Support가 아닌 제품 릴리즈들에는 이 취약점의 존재 여부를 테스트하지 않았습니다.

하지만, 오라클은 “이전 버전의 제품들도 이 취약점에 영향을 받는 것으로 보입니다. 결과적으로, 오라클은 구 버전 제품들의 사용자들도 지원 되는 버전으로 업그레이드 할 것을 추천합니다.”고 밝혔습니다.

이 취약점을 수정하는 보안 패치는 오라클의 정기 Critical Patch Update(CPU)가 발행 되고 2주 후 공개 되었으며, 총 252개의 취약점을 패치하며, 40개의 Fusion Middleware 취약점, 아무런 인증 없이 원격으로 악용이 가능한 취약점 26개를 포함하고 있습니다.

출처 : 

https://thehackernews.com/2017/10/oracle-identity-manager.html

http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-10151-4016513.html