सिंहावलोकन

CVE-2022-21445 (CVSS स्कोर 9.8), यह कमजोरी अविश्वसनीय डेटा का डिक्रिप्शन है, जो ADF Faces घटक में मौजूद है, और हैकर्स द्वारा बिना प्रमाणीकरण (pre-authentication) के दूर से RCE निष्पादित करने के लिए शोषित किया जा सकता है।

उपरोक्त कमजोरी को दो साइबर सुरक्षा विशेषज्ञों द्वारा खोजा गया था: VNG Corporation के PeterJson और VNPT के Nguyen Jang। Oracle को यह रिपोर्ट अक्टूबर 2021 में प्राप्त हुई और पैच जारी करने में 6 महीने लगे, अर्थात् अप्रैल 2022 तक।

इस लेख में, शोषण Oracle Business Intelligence संस्करण 12.2.1.4.0 पर केंद्रित है।

विश्लेषण - कमजोरी का पुनरुत्पादन

वातावरण की स्थापना

पीड़ित/लक्ष्य मशीन पक्ष

शर्तें: विंडोज 10+ प्रो या विंडोज होम (x64) सक्रिय लाइसेंस के साथ या विंडोज सर्वर (Oracle उत्पादों को प्राथमिकता दें) स्थापित करें।

चरण 1: जावा स्थापित करें, jdk 8u112 या उच्चतर संस्करण (8Ux), डाउनलोड लिंक: JDKv8U112

• jdk निर्देशिका (jre नहीं) की ओर इशारा करते हुए JAVA_HOME जोड़ें

चरण 2: Oracle Database 19c स्थापित करें, डाउनलोड लिंक: Oracle 19c

1. डेटाबेस स्थापित करने के लिए एक फ़ोल्डर तैयार करें, नीचे दिए गए पथ जैसा पथ बनाएं और डाउनलोड किए गए डेटाबेस ज़िप फ़ाइल को यहाँ अनज़िप करें C:\app\oracle\product\19c\db_home1

2. व्यवस्थापक अधिकारों के साथ setup.application फ़ाइल चलाएं

3. DB स्थापना मार्गदर्शिका में दिए गए निर्देशों के अनुसार चरण दर चरण प्रक्रिया करें।

4. अत्यंत महत्वपूर्ण: चरण 8/17 पर, Create as Container database चुनना सुनिश्चित करें ताकि आगामी Fusion Middleware स्थापना प्रक्रिया के लिए एक प्लगेबल डेटाबेस खोला जा सके

चरण 9/17 पर, अक्षर सेट को यूनिकोड (AL32UTF8) चुनें

5. स्थापना पूर्ण होने के बाद, विंडोज की सेवाओं (Services) में ध्यानपूर्वक जाँच करें कि नीचे दिए गए चित्र के अनुसार मुख्य 4 सेवाओं की स्थिति RUNNING है।

6. निम्नलिखित चरणों के अनुसार एक नया Oracle डेटाबेस खाता बनाएं:

• टर्मिनल प्रशासक -> sqlplus / as sysdba
• सिस्टम उपयोगकर्ता बनाएं: alter user system identified by system_password account unlock;
• सिस्टम उपयोगकर्ता की उपस्थिति जांचें: select username from dba_users;
• वातावरण सेट करें: alter session set “_oracle_script”=true;
• सामान्य उपयोगकर्ता hr बनाएं: create user hr identified by user_password;
• अनुमतियाँ प्रदान करें: grant all privileges to hr;
• खाता अनलॉक करें – पासवर्ड बदलें: alter user hr identified by hr_pass account unlock;
• नया सिस्टम खाता बनाएं: alter user sys identified by sys_pass account unlock;

चरण 3: SQL Developer स्थापित करें, no-jre संस्करण, डाउनलोड लिंक: SQLDev-NoJRE

• व्यवस्थापक अधिकारों के साथ sqldeveloper.application फ़ाइल चलाएं

• नीचे दिए गए चित्र के अनुसार एक नए कनेक्शन के लिए पैरामीटर सेट करें, उपयोगकर्ता नाम और पासवर्ड बदलना सुनिश्चित करें (जैसा कि ऊपर दिए गए उदाहरण में hr है), होस्टनाम (डिफ़ॉल्ट localhost), पोर्ट (डिफ़ॉल्ट 1521), SID (चरण 2 में स्थापित वैश्विक डेटाबेस नाम)

• यदि Test चुनने पर Success संदेश दिखाई देता है, तो कनेक्शन सफल है, Connect चुनें।

चरण 4: Fusion Middleware Infrastructure (FMW) संस्करण 12.2.1.3.0 स्थापित करें, डाउनलोड लिंक FMW_ver_12.2.1.3.0

• FMW स्थापना निर्देशिका के लिए C:\Oracle\Middleware\Oracle_Home प्रारूप में पथ बनाएं
• निर्देशों के अनुसार क्रमिक रूप से चरणों का पालन करें: FMW स्थापना मार्गदर्शिका

चरण 5: Oracle Business Intelligence (OBIEE) संस्करण 12.2.1.4.0 स्थापित करें, डाउनलोड लिंक: OBIEE_ver_12.2.1.4.0

• व्यवस्थापक अधिकारों के साथ setup_bi_platform-12.2.1.4.0_win64.exe फ़ाइल चलाएं

• OBIEE स्थापना मार्गदर्शिका के अनुसार चरण दर चरण स्थापित करें।

• ध्यान दें: BI का पथ FWM स्थापना पथ के समान होना चाहिए, जैसे कि यहाँ Oracle/Middleware/Oracle_Home है

चरण 6: Repository Creation Utility (RCU) का उपयोग करके BI स्कीमा सेट करें।

• पथ C:\Oracle\Middleware\Oracle_Home\oracle_common\bin पर, व्यवस्थापक अधिकारों के साथ rcu.bat फ़ाइल चलाएं

• निम्नलिखित चरणों का पालन करें:

• अंत में, Create दबाएं ताकि सिस्टम BI स्कीमा बना सके।

चरण 7: OBIEE के लिए वातावरण चर सेट करें।

• कंट्रोल पैनल > सिस्टम > उन्नत सिस्टम सेटिंग्स > उन्नत > वातावरण चर > नया सिस्टम चर पर जाएं

चरण 8: BI डोमेन बनाएं।

1. पथ C:\Oracle\Middleware\Oracle_Home\bi\bin पर, व्यवस्थापक अधिकारों के साथ config.cmd फ़ाइल चलाएं।

2. चरण 1: सभी 3 घटकों का चयन करें, जिसमें Essbase OLAP सर्वर है, Business Intelligence Enterprise Edition BI Analytics है और Business Intelligence Publisher BI Publisher है।

3. चरण 3: नीचे दिए गए चित्र के अनुसार नया डोमेन सेट करें। !! डोमेन का पासवर्ड याद रखें क्योंकि इसे पुनर्प्राप्त करना बहुत कठिन होगा। और डोमेन को bi रखें क्योंकि यह डिफ़ॉल्ट है।

4. चरण 4: डेटाबेस के लिए डोमेन जानकारी अपडेट करें।