Oracle, CVE-2024-21287 olarak izlenen Oracle Agile Ürün Yaşam Döngüsü Yönetimi'nde (PLM) kimliği doğrulanmamış bir dosya açıklama kusuru düzeltti ve bu da aktif olarak dosyaları indirmek için sıfır gün olarak kullanıldı.
Oracle Agile PLM, işletmelerin küresel ekipler arasında ürün verilerini, süreçlerini ve işbirliğini yönetmelerini sağlayan bir yazılım platformudur.
Oracle dün Agile PLM müşterilerini CVE-2024-21287 Kusurunu düzeltmek için en son sürümü yüklemeye çağırdı.
Oracle, "Bu güvenlik açığı kimlik doğrulaması olmadan uzaktan kullanılabilir, yani bir kullanıcı adına ve şifreye ihtiyaç duymadan bir ağ üzerinden kullanılabilir. Başarılı bir şekilde kullanılmadıysa, bu güvenlik açığı dosya açıklamasına neden olabilir," diye uyardı Oracle.
"Oracle, müşterilerin bu güvenlik uyarısı tarafından sağlanan güncellemeleri mümkün olan en kısa sürede uygulamalarını şiddetle tavsiye ediyor."
Oracle, kusurun Joel Snape ve Crowdstrike'tan Lutz Wolf tarafından açıklandığını ifade ederken, danışman aktif olarak sömürüldüğünü göstermedi.
Ancak, Oracle'ın güvenlik güvencesi başkan yardımcısı Eric Maurice tarafından daha sonraki bir blog yazısı, saldırılarda sömürüldüğünü doğruladı.
"Bu güvenlik açığı Oracle Agile ürün yaşam döngüsü yönetimini (PLM) etkiliyor. Crowdstrike tarafından aktif olarak" Vahşi "in aktif olarak kullanıldığı bildirildi."
"Bu güvenlik açığı 7,5'lik bir CVSS taban puanı aldı. Başarılı bir şekilde kullanılmadıysa, kimlik doğrulanmamış bir fail, hedeflenen sistemden PLM uygulaması tarafından kullanılan ayrıcalıklar altında erişilebilen dosyaları indirebilir."
Kusurun şu anda nasıl sömürüldüğü ve saldırıların belirli bir tehdit oyuncusuna atfedilip ilişkilendirilmesi belirsizdir.
BleepingComputer daha fazla bilgi için hem Crowdstrike hem de Oracle ile temasa geçti, ancak henüz yanıt almadı.
CISA Etiketleri Kemp LoadMaster Kusurunu Saldırılarda Sömürüldüğü Gibi
Bilgisayar korsanları PTZ kameralarda kritik sıfır gün güvenlik açığını hedeflemek
Bilgisayar korsanları, e -posta, kimlik bilgilerini çalmak için roundcube web posta kusurunu istismar
Google: 2023'te açıklanan sömürülen kusurların% 70'i sıfır gündü
Solarwinds Web Yardım Masası Kusur artık saldırılarda sömürüldü
Kaynak: Bleeping Computer