Инцидент ИБ в облаке Oracle привел к утечке данных

Исследователи выявили инцидент ИБ в Oracle Cloud. В ходе инцидента ИБ хакер получил доступ к большому объему данных клиентов Oracle. В самой компании отрицали утечку информации, но эксперты представили доказательства взлома. Инцидент ИБ произошел в результате эксплуатации уязвимости в ПО Oracle.

Исследователи кибербезопасности из CloudSEK недавно заявили, что компания Oracle стала жертвой взлома и утечки данных. По словам экспертов, они зафиксировали инцидент ИБ после того, как неизвестный злоумышленник опубликовал в дарквебе объявление о продаже 6 млн записей, похищенных из Oracle Cloud, подразделения корпорации Oracle, которое занимается облачными вычислениями и предоставляет сервисы хранения данных в облачных средах. Инцидент мог затронуть около 140 тыс. клиентов облачного бизнеса Oracle.

Представители Oracle опровергли сообщение о взломе, но в понедельник, 24 марта, CloudSEC представила отчет с неопровержимыми доказательствами инцидента. Исследователи выяснили, что хакер, идентифицируемый как «rose87168», успешно использовал уязвимость в конечной точке входа в Oracle Cloud, что позволило ему получить доступ к данным. Инцидент был связан с эксплуатацией уязвимости CVE-2021-35587 в программном продукте Oracle Access Manager, обеспечивающем аутентификацию в различных Web-приложениях. Эта уязвимость с критическим уровнем опасности (оценка 9,8 по рейтингу CVSS) позволяет злоумышленнику с сетевым доступом через HTTP скомпрометировать Oracle Access Manager.

По данным CloudSEK, украденная из облака Oracle информация включает в себя учетные данные для единого входа, пароли протокола Lightweight Directory Access Protocol, ключи OAuth2 и данные арендаторов серверных мощностей.

Исследователи заявили, что хакер, который проявляет активность с января, предлагал всем желающим помочь ему за вознаграждение расшифровать пароли к системе единого вход (SSO), чтобы оказать давление на компании с целью получения от них выкупа за удаление данных, отмечается в отчете CloudSEK.

Известно, что исследователи безопасности проанализировали набор данных из 10 тыс. строк, предоставленный хакером, который заявил, что взломал Oracle Cloud. Эта выборка содержит данные около 1500 организаций. По словам экспертов CloudSEK, есть признаки того, что хакер получил доступ к производственным средам на основе форматирования ID арендаторов в Oracle Cloud.

Источник: Cybersecurity Dive