Oracle E-Business Suite の認証情報の漏洩

high Web App Scanning プラグイン ID 115318

Language:

概要

説明

Oracle E-Business Suite(EBS)が、「/OA_HTML」仮想ディレクトリの下に JTF(Java Technology Foundation)リポジトリ記述子ファイル「jtfwrepo.xml」を公開します。このファイルが認証なしにアクセス可能な場合、その「<PUSR_LIST>」要素の「password=」属性に含まれている平文の認証情報を含むリポジトリ構成が漏洩します。

認証されていないリモートの攻撃者がこのファイルを取得して、Oracle E-Business Suite環境の有効な資格証明を取得する可能性があります。これらの認証情報は、アプリケーションまたはバッキングサービスへの認証に利用される可能性があり、さらなる機密情報の漏洩やEBSインスタンスの侵害を引き起こす可能性があります。

ソリューション

Web サーバーまたはリバースプロキシレイヤーの「/OA_HTML/jtfwrepo.xml」ファイルへのパブリックアクセスを制限し、Oracle の E-Business Suite セキュリティ強化ガイダンスを適用してください。このファイルを通じて漏えいされる資格情報は、侵害され、ローテーションされていると見なす必要があります。