Oracle再次被曝漏洞，影响33万用户
mhr18 2024-10-15 11:05 19 浏览 0 评论
导语：来自ERPScan公司的安全专家们发现了在Oracle MICROS系统内销售点终端的一个漏洞。这个bug可能被别有用心的攻击者用来从硬件内读取敏感资料。
来自ERPScan公司的安全专家们发现了这个编号为CVE-2018-2636的漏洞。这个漏洞来自Oracle MICROS系统内的销售点（Point-of-Sale）终端，可能被利用来从硬件内无需验证地读取敏感资料。
ERPScan发布的漏洞分析内这样写道：“CVE2018-2636标记了一个Oracle MICROS系统内的文件夹遍历时暴露出的漏洞。如果公司内部有人得到了某个关键文件夹的路径，他就能从一台终端中偷取许多关键的资料，包括服务日志以及一些包含着用户名和密码的信息，甚至可以使用这些密码去连接数据库，获得更多关于服务器端之类的信息。”
“攻击者们能够获得数据库用户名以及哈希过后的密码，将密码暴力破解然后获得数据库内部商业资料的所有权限。而且还有许多不同的利用这个漏洞的攻击方式，导致整个MICROS系统处在危险之中。”
Oracle的MICROS系统在世界范围内拥有超过330000的现金注册用户，涵盖了许多食物卖场（200000+）以及酒店（30000）。
研究者还解释道，对一个本地攻击者来说要获取到MICROS销售点终端的URL路径是很简单的。
例如，他可以找到一个商场的电子秤或者其他使用RJ45点硬件，将其连接到Raspberry PI（树莓派），然后扫描整个内部网络。另一个选项是可以通过这些暴露在因特网上的设备来定位。截止本稿完成之时，共有139个MICROS销售点系统暴露在因特网上，其中大多数位于美国及加拿大。
这并不是MICROS首次遭到质疑，2016年时就曾经有黑客通过客户售后支持中心入侵MICROS系统。
分析报告最后总结道：“如果你想保护你的系统免受网络攻击的危害，你必须持续地保持更新，安装所有安全补丁。在这个案例中，特指Oracle在2018年1月的更新。”
相关推荐
- 【预警通报】关于WebLogic存在远程代码执行高危漏洞的预警通报
-
近日，Oracle官方发布了2021年1月关键补丁更新公告CPU（CriticalPatchUpdate），共修复了包括CVE-2021-2109（WeblogicServer远程代码执行漏洞）...
- 医院信息系统突发应急演练记录（医院信息化应急演练）
-
信息系统突发事件应急预案演练记录演练内容信息系统突发事件应急预案演练参与人员信息科参与科室：全院各部门日期xxxx-xx-xx时间20:00至24:00地点信息科记录：xxx1、...
- 一文掌握怎么利用Shell+Python实现完美版的多数据源备份程序
-
简介：在当今数字化时代，无论是企业还是个人，数据的安全性和业务的连续性都是至关重要的。数据一旦丢失，可能会造成无法估量的损失。因此，如何有效地对分布在不同位置的数据进行备份，尤其是异地备份，成为了一个...
- docker搭建系统环境（docker搭建centos）
-
Docker安装（CentOS7）1.卸载旧版Docker#检查已安装版本yumlistinstalled|grepdocker#卸载旧版本yumremove-ydocker.x...
- 基础篇:数据库 SQL 入门教程（sql数据库入门书籍推荐）
-
SQL介绍什么是SQLSQL指结构化查询语言，是用于访问和处理数据库的标准的计算机语言。它使我们有能力访问数据库，可与多种数据库程序协同工作，如MSAccess、DB2、Informix、M...
- Java21杀手级新特性!3行代码性能翻倍
-
导语某券商系统用这招，交易延迟从12ms降到0.8ms！本文揭秘Oracle官方未公开的Record模式匹配+虚拟线程深度优化+向量API神操作，代码量直降70%！一、Record模式匹配（代码量↓8...
- 一文读懂JDK21的虚拟线程（java虚拟线程）
-
概述JDK21已于2023年9月19日发布，作为Oracle标准Java实现的一个LTS版本发布，发布了15想新特性，其中虚拟线程呼声较高。虚拟线程是JDK21中引入的一项重要特性，它是一种轻量级的...
- 效率!MacOS下超级好用的Linux虚拟工具:Lima
-
对于MacOS用户来说，搭建Linux虚拟环境一直是件让人头疼的事。无论是VirtualBox还是商业的VMware，都显得过于笨重且配置复杂。今天，我们要介绍一个轻巧方便的纯命令行Linux虚拟工具...
- 所谓SaaS（所谓三维目标一般都应包括）
-
2010年前后，一个科技媒体的主编写一些关于云计算的概念性问题，就可以作为头版头条了。那时候的云计算，更多的还停留在一些概念性的问题上。而基于云计算而生的SaaS更是“养在深闺人未识”，一度成为被IT...
- ORA-00600 「25027」 「x」报错（报错0xc0000001）
-
问题现象：在用到LOB大对象的业务中，进行数据的插入，失败了，在报警文件中报错：ORA-00600:内部错误代码,参数:[25027],[10],[0],[],[],[],[],[...
- 安卓7源码编译（安卓源码编译环境lunch失败,uname命令找不到）
-
前面已经下载好源码了，接下来是下载手机对应的二进制驱动执行编译源码命令下载厂商驱动https://developers.google.com/android/drivers?hl=zh-cn搜索NGI...
- 编译安卓源码（编译安卓源码 电脑配置）
-
前面已经下载好源码了，接下来是下载手机对应的二进制驱动执行编译源码命令下载厂商驱动https://developers.google.com/android/drivers?hl=zh-cn搜索NGI...
- 360 Vulcan Team首战告捷 以17.5万美金强势领跑2019“天府杯“
-
2019年11月16日，由360集团、百度、腾讯、阿里巴巴、清华大学与中科院等多家企业和研究机构在成都联合主办了2019“天府杯”国际网络安全大赛暨2019天府国际网络安全高峰论坛。而开幕当日最激荡人...
- Syslog 日志分析与异常检测技巧（syslog发送日志配置）
-
系统日志包含有助于分析网络设备整体运行状况的重要信息。然而，理解并从中提取有效数据往往颇具挑战。本文将详解从基础命令行工具到专业日志管理软件的全流程分析技巧，助你高效挖掘Syslog日志价值。Gr...
- 从Oracle演进看数据库技术的发展（从oracle演进看数据库技术的发展的过程）
-
数据库技术发展本质上是应用需求驱动与基础架构演进的双向奔赴，如何分析其技术发展的脉络和方向？考虑到oracle数据库仍然是这个领域的王者，以其为例，管中窥豹，对其从Oracle8i到23ai版本的核...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- oracle位图索引 (74)
- oracle基目录 (50)
- oracle批量插入数据 (65)
- oracle事务隔离级别 (53)
- oracle主从同步 (55)
- oracle 乐观锁 (51)
- redis 命令 (78)
- php redis (88)
- redis 存储 (66)
- redis 锁 (69)
- 启动 redis (66)
- redis 时间 (56)
- redis 删除 (67)
- redis内存 (57)
- redis并发 (52)
- redis 主从 (69)
- redis 订阅 (51)
- redis 登录 (54)
- redis 面试 (58)
- 阿里 redis (59)
- redis 搭建 (53)
- redis的缓存 (55)
- lua redis (58)
- redis 连接池 (61)
- redis 限流 (51)