Oracle: Lỗ hổng cấu hình và SQL injection có thể vượt qua 1.449 bản vá
"Oracle released 1,449 security patches in July, but Huntress described an attack that would not have been prevented by patching because it abused a public-facing web app with SQL injection and then leveraged legitimate Oracle database functionality. The attackers used a Java source object inside the Oracle database to load a post-exploitation toolkit, highlighting that hardening and disabling unnecessary database features are required in addition to patching."
Rủi ro đến từ SQL injection, sau đó bị mở rộng bằng chức năng hợp lệ của Oracle Database; điều này cho thấy vá lỗi không đủ nếu cấu hình và quyền hạn không được siết chặt.
Có thể dẫn đến rò rỉ thông tin xác thực, gián đoạn vận hành và tăng chi phí ứng phó sự cố; doanh nghiệp cần ưu tiên hardening và kiểm soát thay đổi trên hệ thống sản xuất.
Oracle đã phát hành 1.449 bản vá bảo mật trong tháng 7, nhưng một vụ việc do Huntress mô tả cho thấy việc cập nhật đầy đủ vẫn chưa đủ nếu hệ thống bị cấu hình yếu. Theo báo cáo, kẻ tấn công đã khai thác SQL injection trên một ứng dụng web công khai, sau đó tận dụng chức năng hợp lệ của Oracle Database để triển khai công cụ hậu khai thác.
Điểm đáng chú ý là mã độc được nạp thông qua một Java Source object bên trong cơ sở dữ liệu. Oracle có JVM tích hợp, cho phép lưu và biên dịch mã Java trực tiếp trong database; trong sự cố này, lệnh CREATE JAVA SOURCE được gửi từ Tomcat qua kết nối cơ sở dữ liệu và được biên dịch thành đối tượng schema lưu trữ.
Sự việc cho thấy ngoài vá lỗi định kỳ, tổ chức cần siết chặt cấu hình Oracle Database, vô hiệu hóa các tính năng không cần thiết và chỉ cho phép DBA bật lại Java/biên dịch mã trong các cửa sổ bảo trì hoặc phát triển. Với môi trường sản xuất, việc giảm quyền và tắt khả năng thực thi mã là biện pháp quan trọng để hạn chế lạm dụng chức năng hợp lệ.