聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
该漏洞影响 Agile PLM 9.3.6版本，可在未认证的情况下遭远程利用。Oracle 在安全公告中致谢报送该漏洞的CrowdStrike公司研究员 Snape 和 Lutz Wolf，而 Oracle 安全保证副总裁 Eric Maurice 披露称发现该漏洞已遭在野利用。
Maurice 表示，“如遭成功利用，未认证的攻击者可从目标系统下载PLM应用权限可访问的文件。”
Oracle 公司表示，具有对 HTTP 协议网络访问权限的远程未认证攻击者，可轻松利用 CVE-2024-21287访问关键数据或者对 Agile PLM Framework 所有可访问数据获得完整的访问权限。该公司在安全公告中提到，“Oracle 强烈建议客户尽快应用该安全告警中提供的更新。”
Oracle 或 CrowdStrike 公司均未分享该漏洞的技术详情以及在野观察到的利用信息。目前为止，这两家公司均未回复相关问询。
Agile PLM大约在20年前推出，为组织机构团队提供产品数据和流程管理协作能力。2024年4月，Oracle 公司表示将弃用该产品，在2027年12月31日结束对该产品的付费支持服务。
原文始发于微信公众号（代码卫士）：Oracle 修复已遭利用的 Agile PLM 0day
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论