CVE-2022-21543

El propio aviso de Oracle describe un fallo fácilmente explotable, no autenticado y accesible por red en PeopleSoft Enterprise PeopleTools que resulta en la toma de control completa del producto —con impacto total en confidencialidad, integridad y disponibilidad—. PeopleSoft ejecuta sistemas centrales de RR. HH., finanzas y campus, así que "toma de control" aquí significa un atacante sin credenciales alcanzando una de las plataformas de datos más sensibles que una organización opera y haciéndose dueño de ella por completo.

Las aplicaciones empresariales como PeopleSoft son de alto valor, y los fallos de toma de control preautenticación no autenticados en ellas atraen a actores dirigidos que saben exactamente lo que estos sistemas albergan: PII de empleados, nómina, registros financieros. Que Oracle lo caracterice como "fácilmente explotable" con acceso de red por HTTP significa que la barrera es baja y la recompensa es enorme, que es la combinación que atrae la explotación deliberada una vez que los detalles o una prueba de concepto salen a la luz. Las versiones afectadas se nombran como 8.58 y 8.59, lo que da una línea de delimitación clara para el triaje.

Nuestro énfasis es la exposición y la sensibilidad de los datos joya de la corona que hay detrás. Localizaríamos cualquier instancia de PeopleTools 8.58 o 8.59, priorizaríamos marcadamente cualquiera con acceso HTTP expuesto a internet —los portales de PeopleSoft a veces se exponen deliberadamente para el personal remoto— e impulsaríamos la corrección del CPU de Oracle en un cronograma de emergencia para esas, mientras restringimos el acceso a redes confiables mientras tanto. Como el impacto es el compromiso total de datos personales y financieros regulados, clasificamos esto entre los más altos del lote y tratamos las instancias expuestas como con consecuencia de brecha, no meramente vulnerables.