Oracle waarschuwt voor zeer ernstig lek in Identity Manager
Oracle heeft een waarschuwing afgegeven voor een zeer ernstig beveiligingslek in de Oracle Identity Manager waardoor een aanvaller zonder inloggegevens via het netwerk het systeem volledig kan overnemen. Op een schaal van 1 tot en met 10 wat betreft de ernst van een kwetsbaarheid is dit beveiligingslek met de hoogst mogelijke score van 10 beoordeeld.
De Oracle Identity Manager is een identiteitsmanagementsysteem voor het beheren van toegangsrechten en privileges van gebruikersaccounts en onderdeel van Oracle Fusion Middleware. Via de kwetsbaarheid kan een aanvaller zonder inloggegevens het systeem over het netwerk compromitteren. Volgens Oracle is de aanval zeer eenvoudig uit te voeren en heeft die een grote impact. In de waarschuwing wordt verwezen naar een workaround voor het probleem. Een beveiligingsupdate wordt nog ontwikkeld. Zodra die beschikbaar is adviseert Oracle die meteen te installeren.
Oracle weet haar eigen security identity nog steeds niet goed te managen.
Tenzij ze de associatie van patent scores 10 in kwetsbaarheden wil blijven behouden.
Dit schreeuwt om een permissiemanager voor het identiteitsmanagementsysteem voor het beheren van toegangsrechten en privileges van gebruikersaccounts.
Maar misschien komt Oracle nog wel met een Java based manager voor het managen van de permissiemanager voor het identiteitsmanagementsysteem voor het beheren van toegangsrechten en privileges van gebruikersaccounts.
En omdat dat natuurlijk geheid tot een nieuwe hackscore van boven de 8 gaat leiden is het verstandig alvast bijelkaar te gaan zitten voor het creëren van de functie überpermissiemanager voor het beheer van de Java based Manager voor het managen van de permissiemanager voor het identiteitsmanagementsysteem voor het beheren van toegangsrechten en privileges van gebruikersaccounts.
Opdat Oracle dan ...
Ziedaar het geheime lucratieve verdienmodel van een deel van de ICT industrie, altijd werk aan de winkel en altijd ruimte voor nieuwe functies en dure software.
Slim.
[/url] http://www.oracle.com/technetwork/middleware/id-mgmt/overview/index.html[/url]
"Oracle Identity Management is a member of the Oracle Fusion Middleware family of products, which brings greater agility, better decision-making, and reduced cost and risk to diverse IT environments today.
In addition, we now offer an innovative, fully integrated service that delivers all the core identity and access management capabilities through a multi-tenant Cloud platform, Oracle Identity Cloud Service. To learn more, visit Oracle Identity Cloud Service"
Ok dat is een gangbaar iets waar ook veel andere tools van andere leveranciers ingezet worden. Met een beetje omvang heb je er meerdere van in huis.
https://selecthub.com/categories/identity-management (20 stuks) lijkt niet compleet te zijn, ik mis zo al
https://atos.net/en/products/cybersecurity/evidian-sso-identity-access-management#User-Access-Management-SSO ooit van Siemens https://www.evidian.com/products/iam-cloud-managed-services-dirx/u
Slim.
Slim.
Over het algemeen zijn open source projecten juist enorm open, inclusief de tickets. Met als uitzondering sommige security-gerelateerde tickets, totdat de fixes er zijn en dan wordt ook dat openbaar. Als er werkbare workarounds zijn kun je zelfs gelijk publiceren want dan hoef je dus niet de informatie achter te houden totdat er iets aan gedaan kan worden.
Aankondigen dat er een groot lek in zit en dan zelfs niet de workaround publiek maken is gewoon compleet mesjokke, zeker voor een open source project. Maar ook voor commerciële software is geld vragen om fabrieksdefecten op te lossen maar een hele matige aanpak. Dus hoewel nog steeds niet openbaar is wat jij rookt, sterk is het wel.
Wat een rare vergelijking.
Over het algemeen zijn open source projecten juist enorm open, inclusief de tickets. Met als uitzondering sommige security-gerelateerde tickets, totdat de fixes er zijn en dan wordt ook dat openbaar. Als er werkbare workarounds zijn kun je zelfs gelijk publiceren want dan hoef je dus niet de informatie achter te houden totdat er iets aan gedaan kan worden.
Aankondigen dat er een groot lek in zit en dan zelfs niet de workaround publiek maken is gewoon compleet mesjokke, zeker voor een open source project. Maar ook voor commerciële software is geld vragen om fabrieksdefecten op te lossen maar een hele matige aanpak. Dus hoewel nog steeds niet openbaar is wat jij rookt, sterk is het wel.
Open source projecten die open zijn over wel gevonden maar nog niet opgeloste zaken, zijn die er dan?
Met RDCP gaat het er om de kwetsbaarheid niet publiek te maken voordat er oplossing is. Dat is een gangbare aanpak of wil je dat zelfs ontkennen. Ga eens na wat er met CVE's Linux gebeurt http://www.cvedetails.com/product/47/Linux-Linux-Kernel.html?vendor_id=33. Je noemt het security-fixes gaan niet openbaar ook niet Linux. Artikel Oracle is een security punt. In dit geval met Oracle heeft iedere afnemer vanzelf een Oracle account want dat zit in het contract.
Elke gebruiker waar het om gaat wordt zo op de hoogte gehouden. Waarom zouden degenen die het niets aan gaat ook op de hoogte moeten gaan houden, zelfs vooraf. Dan maak je het de kwaadwillende aanvaller wel heel makkelijk.
Denk nou niet er is een fix dat rollen we wel even tussendoor uit. Met Enterprises dient de BCM business continuïty geborgd te worden. Dat betekent dat je niet zo maar wat uitrolt. Waar je je wel zorgen over kan maken is het management met de aanpak dat externe leveranciers alles wel oplossen en dat zijn er geen verantwoordelijk meer voor hebben.
Nog een wezenlijke vraag hoeveel van deze Oracle software verwacht jij bij de thuisgebruikers?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
