El 21 de noviembre de 2024, la CISA añadió la CVE-2024-21287, una vulnerabilidad de autorización incorrecta en Oracle Agile Product Lifecycle Management (PLM), a su Catálogo de Vulnerabilidades Explotadas Conocidas (Known Exploited Vulnerabilities). La vulnerabilidad afecta al componente Process Extension del Software Development Kit (SDK) y puede ser explotada sin autenticación.

Resumen técnico

CVE-2024-21287 es una vulnerabilidad de autorización incorrecta en el software Oracle Agile PLM, que podría permitir la divulgación de archivos sin autenticación a través del componente Process Extension del SDK. La versión compatible vulnerable es la 9.3.6. Esta vulnerabilidad permite a atacantes remotos acceder a archivos confidenciales sin necesidad de credenciales de usuario. La vulnerabilidad ha sido clasificada con una puntuación CVSS de 7.5 y se considera un riesgo crítico para la seguridad.

Recomendaciones

• Aplicar inmediatamente los parches de seguridad proporcionados por Oracle para mitigar el riesgo de explotación.
• Actualizar Oracle Agile PLM a la versión más reciente compatible.
• Monitorear los sistemas en busca de signos de compromiso, ya que esta vulnerabilidad figura ahora en el Catálogo de Vulnerabilidades Explotadas Conocidas de la CISA.