Oracle 修复已遭利用的 Agile PLM 0day
2024-11-21 17:35:0 Author: mp.weixin.qq.com(查看原文) 阅读量:8 收藏

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

本周，Oracle 修复了位于 Agile 产品生命周期管理 (PLM) 中的、已遭利用的高危信息泄露漏洞CVE-2024-21287（CVSS评分7.5）。

该漏洞影响 Agile PLM 9.3.6版本，可在未认证的情况下遭远程利用。Oracle 在安全公告中致谢报送该漏洞的CrowdStrike公司研究员 Snape 和 Lutz Wolf，而 Oracle 安全保证副总裁 Eric Maurice 披露称发现该漏洞已遭在野利用。

Maurice 表示，“如遭成功利用，未认证的攻击者可从目标系统下载PLM应用权限可访问的文件。”

Oracle 公司表示，具有对 HTTP 协议网络访问权限的远程未认证攻击者，可轻松利用 CVE-2024-21287访问关键数据或者对 Agile PLM Framework 所有可访问数据获得完整的访问权限。该公司在安全公告中提到，“Oracle 强烈建议客户尽快应用该安全告警中提供的更新。”

Oracle 或 CrowdStrike 公司均未分享该漏洞的技术详情以及在野观察到的利用信息。目前为止，这两家公司均未回复相关问询。

Agile PLM大约在20年前推出，为组织机构团队提供产品数据和流程管理协作能力。2024年4月，Oracle 公司表示将弃用该产品，在2027年12月31日结束对该产品的付费支持服务。

代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读

Oracle Fusion 中间件漏洞已遭在野利用

Pwn2Own 大赛赐我灵感，让我发现仨Oracle VirtualBox 漏洞，其中俩提权

Oracle 警告：Weblogic 服务器中含有多个可遭远程利用的严重漏洞

朝鲜黑客被指从黑市购买Oracle Solaris 0day，入侵企业网络

奇安信代码卫士帮助微软和 Oracle 修复多个高危漏洞，获官方致谢

原文链接

https://www.securityweek.com/oracle-patches-exploited-agile-plm-zero-day/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247521546&idx=2&sn=c7f1dbf820ea6f896c4235e2f649c13e&chksm=ea94a460dde32d763ef2289b00707d46b02a3ffe5816f4bc782e01b00eee02ceee26ca614b09&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh