logo

Falhas do Oracle E-Business Suite | Empresa de TI - Sophos - Microsoft - Google - Dell

publicado em:1/07/20 6:35 PM por: Segurança Da Informção

Falhas do Oracle E-Business Suite permitem que hackers sequestrem operações comerciais.

Se suas operações comerciais e a segurança de dados confidenciais dependem do E-Business Suite (EBS) da Oracle.

Verifique se você atualizou recentemente e está executando a versão mais recente disponível do software.

Em um relatório divulgado pela empresa de segurança cibernética Onapsis e compartilhado com o The Hacker News, a empresa divulgou em junho/2020, detalhes técnicos sobre vulnerabilidades relatadas no E-Business Suite (EBS) da Oracle, um grupo integrado de aplicativos projetados para automatizar CRM, ERP e SCM operações para organizações.

Conheça as vulnerabilidades e suas consequências

As duas vulnerabilidades, apelidadas de ” BigDebIT ” e com pontuação 9.9 no CVSS, foram corrigidas pela Oracle em uma atualização crítica de patch(CPU) lançado no início de janeiro.

Porém, a empresa disse que cerca de 50% dos clientes do Oracle EBS ainda não implantaram os patches até o momento.

As falhas de segurança podem ser exploradas por cibercriminosos para direcionar ferramentas contábeis.

Utilizando o General Ledger, em uma tentativa de roubar informações confidenciais e cometer fraudes financeiras.

Segundo os pesquisadores, “um hacker não autenticado pode executar uma exploração automatizada no módulo General Ledger para extrair ativos de uma empresa (como dinheiro) e modificar tabelas contábeis, sem deixar rastro”.

Oracle é vítima de hackes

“A exploração bem-sucedida dessa vulnerabilidade permitiria ao invasor roubar dados financeiros e causar atrasos em qualquer relatório financeiro relacionado aos processos de conformidade da empresa”, acrescentou.

Vale ressaltar que os vetores de ataque BigDebIT aumentam as vulnerabilidades PAYDAY já relatadas no EBS descobertas pela Onapsis há três anos, após as quais a Oracle lançou uma série de patches até abril de 2019.

Segmentação  por fraude financeira

Controladas como CVE-2020-2586 e CVE-2020-2587 , as novas falhas residem no Oracle Human Resources Management System (HRMS) em um componente chamado Hierarchy Diagrammer que permite que os usuários criem hierarquias de organização e posição associadas a uma empresa.

Juntos, eles podem ser explorados mesmo se os clientes do EBS tiverem implantado patches lançados em abril de 2019.

“A diferença é que, com esses patches, confirma-se que mesmo os sistemas atualizados são vulneráveis ​​a esses ataques e, portanto, precisam priorizar a instalação da CPU de janeiro “, afirmou a empresa em nota divulgada em janeiro.

Quais as consequências desses erros?

Se esses erros, não forem corrigidos terá a possibilidade de fraude financeira e roubo de informações confidenciais, atacando os sistemas de contabilidade de uma empresa.

O Oracle General Ledger é um software automatizado de processamento financeiro que atua como um repositório de informações contábeis.

Ele é oferecido como parte do E-Business Suite, um conjunto integrado de aplicativos da empresa.

Que abrangendo ERP (Enterprise Resource Planning), Supply Chain Management (SCM), e CRM (Customer Relationship Management), que os usuários podem implementar em seus próprios negócios.

O General Ledger também é usado para gerar relatórios financeiros corporativos e realizar auditorias para garantir a conformidade com a Lei SOX de 2002.

Exploração das falhas

Um invasor pode quebrar essa confiança explorando as falhas para modificar relatórios críticos no razão, incluindo a manipulação fraudulenta de transações nos balanços da empresa.

“Por exemplo, um invasor pode modificar o Relatório de balancete, que resume os saldos contábeis em um determinado período, praticamente despercebidos, ocasionando resultados incorretamente relatados fluindo não detectados nas demonstrações financeiras.

Isso pode resultar em resultados financeiros arquivados ou reportados incorretamente”, Onapsis disse.

A importância do patch de software crítico

Dado o risco financeiro envolvido, é altamente recomendável que as empresas que usam o Oracle EBS executem uma avaliação imediata.

Isso é para garantir que não estejam expostas a essas vulnerabilidades e apliquem os patches para corrigi-las.

“As organizações precisam estar cientes de que as ferramentas atuais de GRC e outros métodos tradicionais de segurança (firewalls, controles de acesso, SoD e outros) seriam ineficazes contra a prevenção desse tipo de ataque a sistemas Oracle EBS vulneráveis”, alertaram os pesquisadores.

“Se as organizações tiverem sistemas Oracle EBS voltados para a Internet, a probabilidade de ameaça em potencial seria significativamente aumentada. As organizações sob ataque desconhecem o ataque e não sabem a extensão do dano até que as evidências sejam encontradas por uma auditoria interna ou externa muito extensa. ”

Texto traduzido do The Hackes News.


Gostou desse conteúdo?

Siga a Genco Rio no Facebook, LinkedIn, Twitter e Instagram

Leia também:

Ragnar Locker ransomware

Sophos o que é Intercept X

 

 

 

 

 

 

 

 

 

 

 



A última modificação foi feita em:setembro 20th, 2020 as 12:53 am




Comentários



Adicionar Comentário