Lỗ hổng HTTP cho phép chiếm quyền Clusterware của Oracle Database Server

Lỗ hổng trong thành phần Portable Clusterware của Oracle Database Server. Các phiên bản được hỗ trợ bị ảnh hưởng là 19.3-19.32, 21.3-21.23 và 23.4.0-23.26.3. Lỗ hổng dễ khai thác này cho phép kẻ tấn công chưa được xác thực có quyền truy cập mạng thông qua HTTP xâm phạm Portable Clusterware. Việc tấn công thành công có thể dẫn đến quyền tạo, xóa hoặc sửa đổi trái phép đối với dữ liệu quan trọng hoặc toàn bộ dữ liệu mà Portable Clusterware có thể truy cập, cùng khả năng trái phép làm Portable Clusterware bị treo hoặc bị crash lặp lại thường xuyên (DoS hoàn toàn). CVSS 3.1 Base Score 9.1 (tác động đến Integrity và Availability). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H).

Các phạm vi bị ảnh hưởng được Oracle và bản ghi CNA xác định như sau:

• Oracle Database Server, Portable Clusterware: từ 19.3 đến 19.32, bao gồm các phiên bản ở hai đầu phạm vi.
• Oracle Database Server, Portable Clusterware: từ 21.3 đến 21.23, bao gồm các phiên bản ở hai đầu phạm vi.
• Oracle Database Server, Portable Clusterware: từ 23.4.0 đến 23.26.3, bao gồm các phiên bản ở hai đầu phạm vi.

Oracle hiện dùng tên Clusterware trong ma trận rủi ro, trong khi bản ghi mô tả thành phần là Portable Clusterware. Oracle cho biết các bản vá trong chương trình này không áp dụng cho cài đặt chỉ có client, tức các hệ thống không cài Oracle Database Server. Bản ghi và advisory được kiểm tra không cung cấp một phiên bản sửa lỗi cụ thể cho từng nhánh, vì vậy không được mặc định rằng mọi phiên bản sau các mốc trên đều đã an toàn.

Lỗ hổng nằm trong thành phần Portable Clusterware của Oracle Database Server, được Oracle gọi là Clusterware trong bản tư vấn hiện tại. Kẻ tấn công có thể gửi yêu cầu qua HTTP đến dịch vụ có khả năng truy cập mạng; không cần xác thực, không cần quyền trước và không cần người dùng tương tác. Oracle đánh giá việc khai thác là dễ thực hiện và không làm thay đổi phạm vi ảnh hưởng. Chi tiết về loại đầu vào, endpoint, định dạng request, parser hoặc đường đi mã thực thi bị lỗi không được công bố trong dữ liệu hiện có. Oracle cũng nêu rằng khi ma trận ghi nhận HTTP, các biến thể bảo mật tương ứng như HTTPS được xem là bị ảnh hưởng, vì vậy các dịch vụ Clusterware công khai qua HTTPS cũng cần được kiểm tra.

• Khả năng tiếp cận: Tấn công từ xa qua mạng đến giao diện HTTP của Portable Clusterware.
• Điều kiện: Không cần xác thực, không cần đặc quyền và không cần tương tác của người dùng; độ phức tạp khai thác được đánh giá là thấp.
• Phạm vi xem xét: Các triển khai cung cấp dịch vụ liên quan qua HTTP hoặc HTTPS cần được kiểm tra, kể cả khi dịch vụ chỉ có thể truy cập từ mạng nội bộ.
• Tình trạng khai thác công khai: Bản ghi được cung cấp không xác định exploit công khai và không xác nhận việc khai thác thực tế. Điều này không chứng minh rằng hiện không có hoạt động khai thác.

Khai thác thành công có thể cho phép kẻ tấn công không xác thực tạo, xóa hoặc sửa đổi trái phép dữ liệu quan trọng hoặc toàn bộ dữ liệu mà Portable Clusterware có thể truy cập. Tác động cũng bao gồm khả năng làm Portable Clusterware bị treo hoặc crash lặp lại, dẫn đến từ chối dịch vụ hoàn toàn của thành phần này. Vì không cần đặc quyền và không cần tương tác người dùng, lỗ hổng có thể ảnh hưởng đến các hệ thống mà dịch vụ mạng liên quan bị phơi露 ngoài vùng quản trị dự kiến. Bản ghi không xác định tác động đến tính bảo mật hoặc quyền truy cập sang sản phẩm khác, nên các kết luận về đọc dữ liệu hoặc lan rộng sang thành phần khác vẫn chưa được chứng minh.

Lỗ hổng đe dọa trực tiếp đến tính toàn vẹn dữ liệu và tính sẵn sàng của Portable Clusterware.

• Kẻ tấn công có thể thay đổi hoặc xóa dữ liệu quan trọng mà Clusterware quản lý, từ đó làm sai lệch trạng thái vận hành hoặc yêu cầu khôi phục dữ liệu.
• Việc làm dịch vụ bị treo hoặc crash lặp lại có thể gây gián đoạn các hoạt động phụ thuộc vào Clusterware và làm tăng thời gian khôi phục.
• Bản ghi không mô tả quyền đọc dữ liệu hoặc tác động đến tính bảo mật, nên không nên mở rộng kết luận sang rò rỉ dữ liệu.
• Mức độ ảnh hưởng thực tế phụ thuộc vào dữ liệu mà từng triển khai cho phép Portable Clusterware truy cập và mức độ phơi露 dịch vụ qua mạng.

1. Áp dụng bản vá Oracle: Cài đặt Critical Security Patch Update của Oracle áp dụng cho Oracle Database Server và thành phần Clusterware bị ảnh hưởng, theo tài liệu patch availability tương ứng với nhánh triển khai. Bằng chứng hiện có không nêu phiên bản sửa lỗi cụ thể, nên cần xác nhận gói và bản vá đúng cho từng nhánh trước khi triển khai.
2. Ưu tiên các hệ thống phơi露 mạng: Xử lý trước các máy chủ cho phép truy cập HTTP hoặc HTTPS đến dịch vụ Clusterware từ mạng không tin cậy hoặc từ các vùng mạng có phạm vi lớn.
3. Giảm phơi露 tạm thời: Nếu chưa thể vá ngay, chặn các giao thức mạng cần cho cuộc tấn công hoặc giới hạn truy cập đến các nguồn mạng thực sự cần thiết. Oracle cảnh báo các thay đổi này có thể làm hỏng chức năng và cần được kiểm thử trên hệ thống không sản xuất.
4. Không coi biện pháp giảm phơi露 là bản sửa lỗi: Việc chặn HTTP hoặc HTTPS chỉ là biện pháp tạm thời và không loại bỏ lỗi trong phần mềm.
5. Xác nhận lại trạng thái sau khi cập nhật: Kiểm tra phiên bản thực tế, trạng thái bản vá và khả năng truy cập dịch vụ trên từng nhánh. Không suy ra phiên bản cố định chỉ từ việc advisory liệt kê các phạm vi bị ảnh hưởng.

1. Kiểm kê các máy chủ chạy Oracle Database Server và xác định liệu Portable Clusterware hoặc Clusterware có được cài đặt hay không.
2. Đối chiếu phiên bản triển khai với các nhánh bị ảnh hưởng trong phần affected_summary, thay vì chỉ kiểm tra tên sản phẩm.
3. Xác định các listener, reverse proxy hoặc firewall đang cho phép HTTP hoặc HTTPS truy cập đến dịch vụ Clusterware; việc Oracle không mô tả endpoint cụ thể khiến cần kiểm tra theo kiến trúc triển khai thực tế.
4. Rà soát audit và sự kiện vận hành để tìm các thay đổi trái phép đối với dữ liệu mà Clusterware quản lý, cùng các dấu hiệu treo hoặc crash lặp lại. Đây là biện pháp rà soát phòng ngừa, không phải IOC đã được Oracle xác nhận.
5. Không coi việc không tìm thấy log hoặc sự kiện bất thường là bằng chứng hệ thống an toàn; dữ liệu hiện có không cung cấp IOC, mẫu request hoặc log signature đặc thù.