黑客利用Ellucian Banner网站漏洞入侵了62所美国大学资讯,新闻

By admin

2019-07-24 14:23:51

浏览量94

已赞0

前言:黑客利用Ellucian Banner ERP模块的一个漏洞,侵入了至少62个学院和大学网络。

美国教育部警告称,黑客利用Ellucian Banner ERP的Ellucian Banner Web Tailor模块的一个漏洞,侵入了至少62个高校网络。

各学院和大学使用该模块定制它们的web应用程序。

漏洞由安全专家Joshua Mulliken发现,追踪号为CVE-2019-8978,它影响了ERP的两个模块使用的认证过程,包括用来管理用户账户的Ellucian Banner Enterprise Identity Services。

在Banner Web Tailor和Banner企业标识服务中发现了一个不适当的身份验证漏洞(CWE-287)。当SSO Manager用作Web Tailor的身份验证机制时,就会产生此漏洞,这会导致受影响的用户的信息公开和数据完整性的丢失。专家发布的安全建议写道。

黑客利用Ellucian Banner网站漏洞入侵了62所美国大学

远程攻击者可以利用该漏洞劫持用户的帐户。

“用户的唯一标识符UDCID是通过cookie泄露的,如果这个标识符被捕获或以其他方式被知道,可能会导致账户受损。在测试中,UDCID被知道是印制在身份证上的机构ID。”UDCID可用于利用竞争条件,该条件将为攻击者提供未经授权的访问。”顾问继续说。“对于学生来说,攻击者可以让他们退学,拒绝经济资助,更改个人信息,等等。对于教授来说,这可能导致他们无法管理自己的课程,让恶意的学生填写虚假的最终成绩,等等。对于管理员来说,攻击者可以更改用户信息,对学生帐户进行虚假持有,等等。”

受影响的版本是Banner Enterprise Identity Services 8.3,之后,Ellucian在5月份解决了这个漏洞。

不幸的是,威胁行动者开始利用野生环境中的CVE-2019-8978漏洞。

“该部已查明62所学院或大学受到利用这一弱点的影响。我们最近还收到的信息表明,犯罪分子一直在积极地扫描互联网,寻找通过这一漏洞受害的机构,并编制了利用这一漏洞的机构名单。发布在联邦学生援助上的警告写道。

受攻击的教育机构利用这一漏洞报告说,威胁行为者在受影响的横幅系统的招生或注册部分使用脚本创建多个学生帐户。

官方报告称,袭击者在24小时内创建了至少600个虚假或欺诈性的学生账户。该恶意活动持续了数天,导致数千个虚假学生账户被创建。坏消息是,在攻击中创建的一些帐户涉及犯罪活动。

官员警告说,对于那些没有实施网络隔离的组织,攻击者可能会访问学生的经济资助数据

Ellucian否认虚假账户的创建与其ERP漏洞有关。

“尽管有报道称,攻击者可以利用上面讨论的漏洞来创建账户,但Ellucian认为这是不正确的,”该公司发表的一份声明称。“据信,警报中描述的问题与此前修补过的Ellucian Banner系统漏洞无关,而且也不限于使用Ellucian产品的机构。”

“攻击者利用机器人提交欺诈性入学申请,并通过入学申请门户网站获取院校电子邮件地址,”

该公司建议在录取过程中实现reCAPTCHA功能。

发表评论
拖动滑块验证
»
请先 注册/登录 后参与评论

已有0 发布

默认   热门   正序   倒序
    查看更多评论
    已有0次打赏