Pesquisador descobre falha em banco de dados Oracle
De acordo com Esteban Martinez, hacker pode usar vulnerabilidade para recuperar e alterar dados armazenados.
Alguns bancos de dados Oracle têm o que os especialistas dizem ser uma falha grave no sistema de login que um hacker pode usar para recuperar e alterar dados armazenados.
A falha, identificada no Oracle Database 11g, versões 1 e 2, deixa o token fornecido pelo servidor aberto a um ataque de força bruta antes que a autenticação seja concluída, afirma Esteban Martinez Fayo, pesquisador de segurança de aplicativos que descobriu a vulnerabilidade. Se for bem-sucedido, um atacante pode obter acesso ao banco de dados.
Fayo descobriu o problema depois de perceber que o cliente e o servidor tratavam logins com senhas incorretas de forma diferente. Um exame mais detalhado levou à descoberta. "Um desvio de autenticação é muito grave", observa Kevin Mitnick, conhecido hacker e fundador da Mitnick Security Consulting. "Basicamente, um atacante pode chegar aos dados armazenados no banco de dados, e até mesmo mudá-los."
A vulnerabilidade decorre da maneira como o protocolo de autenticação protege as chaves de sessão. Quando um cliente conecta-se ao servidor de banco de dados, uma chave de sessão é enviada. Como isso acontece antes de o processo de autenticação ser concluído, um hacker trabalhando remotamente pode ligar a chave a um hash de senha específica.
A CSO nos Estados Unidos contatou a Oracle, que não respondeu a um pedido de comentário. A empresa corrigiu a falha na última atualização do protocolo de autenticação, a versão 12. No entanto, não está planejando um patch para a versão defeituosa, a 11.1, afirma Fayo. Mesmo com a atualização, os administradores de banco de dados têm de configurar o servidor para permitir apenas a nova versão do protocolo.
Brent Huston, presidente-executivo da empresa de testes de segurança MicroSolved, aponta que devido à vulnerabilidade, os clientes que não tenham atualizado seus bancos de dados terão de implementar alguma forma de proteção, especialmente se eles estão sujeitos a fiscalização pelos órgãos reguladores.
Últimas Notícias
4 passos para utilizar assistentes digitais no seu negócio
Ferramentas de chatbots baseadas em inteligência artificial ganham espaço n...
Governo brasileiro conta agora com glossário oficial em cibersegurança
Diário Oficial da União publicou vocabulário para orientar setor. Documento...
8 riscos que podem comprometer a cibersegurança das empresas
Apenas 10% das empresas afirmam possuir formas de identificar riscos à segu...
Afinal, o que você precisa saber sobre big data para avançar os negócios?
O que agrega valor às empresas de big data é a análise aplicada aos dados....
O que é automação comercial e quais as vantagens dela?
Organize a sua loja com automação comercial e colha seus frutos no fim do a...
Como aprimorar a segurança das informações na era do trabalho remoto?
É importante que as companhias e os líderes entendam o que está em jogo com...
