Mobile-Menu

Ausnutzung einer kritischen Schwachstelle Sechs Millionen Datensätze bei Oracle-Breach gestohlen

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
FTAPI Software GmbH

Ein Cyberkrimineller behauptet sechs Millionen Datensätze aus der Oracle Cloud gestohlen zu haben und erpresst damit nun betroffene Unternehmen. Während Oracle die Vorwürfe zurückweist, wollen die Sicherheitsexperten von Cloudsek einen Exploit entdeckt haben.

Indem er eine Schwachstelle im Oracle Access Manager ausnutzte, will ein anonymer Cyberkrimineller sechs Millionen Datensätze von über 140.000 Oracle-Mandanten gestohlen haben.(Bild: Westlight - stock.adobe.com)
Indem er eine Schwachstelle im Oracle Access Manager ausnutzte, will ein anonymer Cyberkrimineller sechs Millionen Datensätze von über 140.000 Oracle-Mandanten gestohlen haben.
(Bild: Westlight - stock.adobe.com)

Cloudsek, Anbieter einer Cyber-Intelligence-Plattform, berichtet, entdeckt zu haben, wie ein Angreifer namens „rose87168“ versucht haben soll, Millionen von Datensätze verkaufen wollen, die er aus dem Single Sign-On (SSO) der Oracle Cloud und dem Lightweight Directory Access Protocol (LDAP) gestohlen haben soll. Der Angreifer habe behauptet, über eine Schwach­stelle im Login-System – konkret in der Subdomain „login.[region-name].oraclecloud.com“ – in die Oracle Cloud eingedrungen zu sein. Seit dem Angriff sei diese Domain allerdings nicht mehr zu erreichen.

Kritische Sicherheitslücke als Einfallstor

Die Datenbank, die rose87168 gestohlen haben soll, umfasst Cloudsek zufolge sechs Millionen Datensätze, darunter:

  • JKS-Dateien (Java KeyStore)
  • verschlüsselte SSO-Passwörter
  • Zugangs- oder Verschlüsselungsschlüssel
  • JPS-Schlüssel (Java Platform Security) des Oracle Enterprise Managers

Außerdem habe der Hacker jedem, der ihm helfen könne, die SSO- und LDAP-Passwörter zu entschlüsseln, eine Belohnung angeboten. Über 140.000 Oracle-Mandanten seien von dem Datenraub betroffen. rose87168 habe betroffene Unternehmen dazu aufgerufen, sich bei ihm zu melden, um ein Lösegeld zu bezahlen, damit er ihre Daten löschen würde. Über den Kurz­nachrichten­dienst X veröffentlicht rose87168 darüber hinaus Kommentare und Berichte zu dem Breach.

Für seinen Cyberangriff habe der bisher unbekannte Hacker die kritische Sicherheitslücke CVE-2021-35587 (CVSS 9.8) ausgenutzt, die innerhalb der Softwaresammlung Oracle Fusion Middleware den Access Manager von Oracle und konrekt den OpenSSO-Agenten betrifft. Folgende Versionen des Access Managers:

  • 11.1.2.3.0
  • 12.2.1.3.0
  • 12.2.1.4.0

Dem Bericht von Cloudsek zufolge habe ein Angreifer gegenüber einer unabhängigen Nachrichtenquelle behauptet, eine anfällige Version der Oracle Cloud-Server mit dieser Sicherheitslücke kompromittiert zu haben. Dafür gebe es derzeit zwar keinen öffentlichen Proof-of-Concept, doch die Analysten von Cloudsek hätten einen Exploit identifiziert. Die Beispieldaten, die rose87168 in seinem Breach-Forum veröffentlicht habe, würden sich mit den Informationen von Cloudsek über die Ausnutzung der Oracle-Schwachstelle decken.

Cloudsek habe Oracle bereits über den Vorfall informiert und stellt einen Online-Dienst bereit, über den Unternehmen prüfen können, ob ihre Domain von dem Sicherheitsvorfall bei Oracle betroffen ist.

Oracle bestreitet Datendiebstahl

Auf die Meldung von Cloudsek habe Oracle geantwortet, dass es keinen Cyberangriff auf die Oracle Cloud gegeben habe.

Da auf das Statement von Oracle und die Veröffentlichung des Blogposts von Cloudsek viele Fragen folgten, erstellten die Analysten eine Liste mit Antworten auf die meistgestellten Fragen.

Eine berechtigte Frage ist, ob es sich bei dem kompromittierten Oracle-Server möglicherweise nur um einen Entwicklungs- oder Test-Server handeln könnte, der lediglich Dummy-Daten enthält. Cloudsek geht davon aus, dass es sich bei den untersuchten Subdomänen innerhalb der Oracle-Cloud-Infrastruktur um echte Unternehmensdomänen und echte An­melde­in­for­mationen. Außerdem würden die Domänen mit denen aus dem Breach-Forum des Hackers übereinstimmen, welche bekannte Oracle-Kunden enthalten würden. Deshalb sei die „Test-Server-Theorie“ als vollständige Erklärung unwahrscheinlich.

(ID:50365704)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte