【漏洞通告】Oracle Access Manager 未授权远程代码执行漏洞CVE-2021-35587 -- vulsee.com

Oracle Access Management 访问管理器（Access Manager）是以前的（独立）产品，名为 Oracle Access Manager。Access Manager 提供 Oracle Fusion Middleware 单点登录 (SSO) 解决方案。

近日，深信服安全团队监测到一则 Oracle Access Manager 组件存在未授权远程代码执行漏洞的信息，漏洞编号：CVE-2021-35587，CVSS评分：9.8分，漏洞威胁等级：严重。

该漏洞是由于 Oracle Access Manager 未对 HTTP 请求进行有效的验证，攻击者可利用该漏洞在未授权的情况下，构造恶意数据进行远程代码执行漏洞攻击，最终获取服务器最高权限。

Access Manager 提供 Oracle Fusion Middleware 单点登录 (SSO) 解决方案。全球总计30000以上的资产使用了Oracle Fusion Middleware。国内省份主要分布在广西、北京、辽宁等省份。

目前受影响的版本：

Oracle Access Manager 11.1.2.3.0

Oracle Access Manager 12.2.1.3.0

Oracle Access Manager 12.2.1.4.0

当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：

https://www.oracle.com/security-alerts/cpujan2022.html

1.检测方案

【深信服安全云眼CloudEye】预计2022年3月24日，完成检测更新，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。

注册地址：http://saas.sangfor.com.cn

【深信服云镜YJ】预计2022年3月24日，完成检测能力的发布，部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响，避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力，可以连接云端升级的用户可自动获得漏洞检测能力。

【深信服安全感知管理平台SIP】预计2022年3月24日，结合云端实时热点高危/紧急漏洞信息，可快速检出业务场景下的该漏洞，并可联动【深信服下一代防火墙AF】等产品实现对攻击者IP的封堵。

2.防护方案

【深信服下一代防火墙AF】预计2022年3月24日，可防御此漏洞， 建议用户将深信服下一代防火墙开启 IPS 防护策略，并更新最新安全防护规则，即可轻松抵御此高危风险。

【深信服Web应用防火墙WAF】预计2022年3月24日，可防御此漏洞， 建议用户将深信服Web应用防火墙WAF开启IPS防护策略，并更新最新安全防护规则，即可轻松抵御此高危风险。

3.服务方案

【深信服安全托管服务MSS】以保障用户网络安全“持续有效”为目标，通过将用户安全设备接入安全运营中心，依托于XDR安全能力平台和MSSP安全服务平台实现有效协同的“人机共智”模式，围绕资产、脆弱性、威胁、事件四个要素为用户提供7*24H的安全运营服务，快速扩展持续有效的安全运营能力，保障可承诺的风险管控效果。

https://www.oracle.com/security-alerts/cpujan2022.html

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。