Oracle potvrdil únik dat, útočník nabízí 6 milionů záznamů

Společnost Oracle potvrdila bezpečnostní incident, při kterém došlo ke kompromitaci její cloudové služby Oracle Cloud Classic. Útočník vystupující pod přezdívkou „rose87168“ tvrdí, že se mu/jí podařilo proniknout do dvou přihlašovacích serverů a získat přístup ke zhruba šesti milionům záznamů včetně privátních bezpečnostních klíčů, zašifrovaných přihlašovacích údajů a LDAP záznamů. Incident zřejmě souvisí s neopravenou zranitelností CVE-2021-35587 v produktu Oracle Access Manager, kterou Oracle neaplikoval ani ve vlastním prostředí. Bezpečnostní odborníci potvrdili autenticitu části dat sdílených útočníkem jako důkaz. Oracle podle médií oslovil některé zákazníky individuálně a přizval firmu CrowdStrike k analýze útoku. Zatímco Oracle tvrdí, že se jedná o historická data z osm let starého serveru, jiný zákazník uvedl, že mezi kompromitovanými údaji jsou i přihlašovací data z roku 2024.

14.4. 13:11 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Max]

Hoši jsou pružný :D, četl jsem o tom už před delší dobou: Oracle Confirms Cloud Hack.
Zdar Max

[Slavko]

Áno, dlho ten únik popierali, kým nezačali (niektorí) zákazníci potvrdzovať autentičnosť zverejnených častí. Potom Oracle únik priznal, ale tvrdili, že to sú staré, neaktuálne dáta, kým to zase nevyvrátili ich zákazníci.

Takže im nakoniec nič iné nezostalo, ako priznať to...

[Peter Golis]

Nemalo by Oracle v EÚ o takých incidentoch informovať ako im káže európska legislatíva, alebo v EÚ už nepodnikajú?

[Max]

To byla první věc, co mně zajímala. Obrovská firma, cloud, kde mají data i někteří velcí hráči a oni zatloukají? V dnešní době? A EU nic? Tady člověk musí začít plnit NIS2 a Oracle to má u řiti? Tím jejich přístupem mně brutálně zklamali a nasrali.
Zdar Max

[plostenka]

Oracle nedodrzuje ani vlastni licence, takze cekat ze se budou ridit i jinym papirem, je takove idealisticke.

Zklamali nezklamali, tezky prachy jim budes sypat porat, tak o co jde...

[Max]

Není to tak jisté. Snaží se nás uvrtat do cloudu, nejdříve zkoušeli OracleDB, teď zkoušejí aspoň Oracle Cloud Analytics, poňoukají k využívání OCI atd.
Mezitím běží vývoj nového IS s ORM, bez logiky v db apod., takže případný útěk je v budoucnu možný / jednodušší, než současný stav, kdy je dost logiky v rámci db.
Zdar Max

[podlesh]

No, upřímně, nechápu jak může v roce 2025 Oracle někoho zklamat.

[efa]

To ale neni o EU, ale o nejakym ouradu v nejakym state kde ten oracle ma nejaky zastoupeni. A kdyz ten ourad nechce tak nic nedela.

I kdyby nejakou pokuticku dostali, budou se o ni 10+let soudit ...

"jebat na to" === Oracle, to je jejich standardni pristup k cemukoli.

[koroptev]

cim je dnes Oracle relevantni? ptam se vazne, nejakej hw?

Java. Jinak mne nic nenapadá.

[Max]

Oracle produktů mají tunu, hlavní je asi DB, u které se snaží tlačit zákazníky do cloudu. Už přes rok běží masírka OracleDB 23ai, v cloudu existuje rok, v express edici také, ale v produkční verzi pro on-prem ne. Místo toho prodloužili support Oracle 19c.
Takže okopírovaná taktika MS.
Jinak forkli RHEL a mají OEL, forkli oVirt a mají OLVM, koupili Sun, takže mají zákazníky na Solarisu. Pak mají analytické služby, dříve se to jmenovalo OBI (Oracle Business Inteligence), teď už je tou cloud v podobě Oracle Cloud Analytics.
Asi tedy žijí z OracleDB, Cloudu, Exadata a pár dalších věcí. Moloch jsou to obrovský.
Zdar Max

[koroptev]

O ty db vim, ale rikal jsem si, jestli to neni minulost uz, s ohledem na prevalenci ruznejch OS reseni. Asi teda ne.

[Max]

No, ještě mají třeba Oracle Apex řešení, kde si během chvilky naklikáš všechno možné. My to na pár drobných věcí používámě, ale třeba takový Ahold má nad tím postavý celý IS. Viz tady to jeho prezentační pdf.
Díky tomu nemusíš moc řešit frontend, komunikaci s backendem a milion dalších věcí. Vše za tebe vyvíjí Oracle, je to zdarma k databázi.
Zdar Max

[Max]

Jinak k té db, tam mají pořád náskok před konkurencí, v mnoha věcech. A v té 23ai mají přidané právě to AI. Tj. můžeš mj. využít generování selectů pomocí AI, viz Getting Started with Oracle Select AI - generative AI and your database.
Zdar Max

[efa]

Zijou primarne z toho, ze odejit jinam nebude o nic lepsi (jmenuj 3 alternativy k jejich databazi ...) zato to bude stat spousty prachu.

Snaha o natlaceni zakazniku do cmoudu a ziskani 100% kontroly nad tema firmama (protoze zdaleka nejde jen o data) je zcela vseobecna.

[Ondřej J]

Hlavně DB, kde mají různé věci, které jinde nejsou (netvrdím, že jiné DB zase nemají něco jiného), reálně tyto různé vychytávky slouží hlavně k vendor lock-inu, protože když ti zdraží DB,tak zjištíš, že tyhle a tyhle featury ti jinde nefungují a byl by to opruz. Teď zase nabízí levnější licence, když nebudeš on premise, ale v cloudu, ale čekám, že po čase zase začnou zdražovat, protože lock in bude ješětě větší.

Abych je jenom nepomlouval, kolegové, co s tou dataází opravud pracují, tvrdí, že ty jejich vyfikundace jsou opravdu fajn. Já s tou DB pracuju způsobem, že mi stačí obyčejé SQL a je mi (až na dorbné rozdíly)jedno, co to je za DB.

[ehmmm]

(noflame) Muzes prosim laikovi naznacit, co kolegove rikaji, ze Oracle DB umi a ostatni ne? Rad se dovzdelam. (/noflame)

[Ivan3]

Ono je toho opravdu hodne. Co je opravdu unikatni je multi-master replikce kdy DB bezi v modu active-active(RAC) a s tim souvisejici zero-downtime patching.

Oracle ma pod svoji kontrolou Javu a tak ted muze pridavat do JDBC standartu podporu pro veci ktery umi jen oni.

[..... Izak .....]

Jo a taky RMAN a jeho integrace do zalohovacich SW ... zazil jsme na jednom RAC clusteru, ze chybou diskoveho pole jsme prisli o bloky ... byl to vyvoj a dokonce nejaka starsi tablespace - ale dalsi full backup zkolaboval - pole imho drzelo ten vadny blok, jo byla to chyba pole, dobre pole tohle nedela, ale aspon jsme o tom vedeli, blok jsme nahradili prazdnym blokem - nebot predtim check DB vzdy selhal na I/O wait - logicky, kdyz to pole nedovolilo prepsat ani cist ...

No a pote jsme udelali integrity check, nasel tam chybu, dali jsme restore - a i kdy cela DB mela nekolik TB a dany tablespace asi 200GB - sahl si na zalohovaci SW a obnovil fakt jern ty vadne bloky, takze obnova jako takova, diky tomu, ze se zalohovalo jen na diskove pole trvala v radu seknud, ano check trval dele ... a to vse samozrejme za behu ... a kdyz se vam tohle stane, tak chcte mit Oracle kde tohle funguje a nemusite nic shazovat, delat kompletni obnovu, nebo treba i celeho tablespace kde bylo vice databazi ...

Produkce bezela na enterprise polich kde se tohle nedelo

[plostenka]

opravdu unikatni je multi-master replikce kdy DB bezi v modu active-active(RAC) a s tim souvisejici zero-downtime patching

To ma Db2 asi tak odjakziva, muzes mit aktivnich SSID kolik chces a postupne je migrovat v ramci podporovaneho rozsahu verzi (levelsetu).

[Max]

RAC je, že máš společné úložiště a nad tím nody. Tj. neděláš replikaci, kooperuješ nad stejnými daty. Nodu můžeš mít kolik chceš, ale je tam performance impact. U dvou nodů je to asi 5-10%.
Řešení máš tedy pak postavené tak, že máš např. dva node v RAC1 v primáru a dva v RAC2 na backupu. Tj. dva clustery a real time replikuješ data do backup lokality. Zároveň můžeš dělat odstávky jednotlivých node jak chceš a nemá to vliv na provoz. Nad nody visí virtuální IP, kde x hlavních se stará o rozbalancování provozu.
Zdar Max

[Max]

Jinak máš možnost jednoduchého switchoveru (překlopení provozu) z primáru na backup a obráceně. A to tak, že nepřijdeš o repliku. Tj. když switchneš provoz na backup, tak můžeš třeba za hodinu switchnout zpět na primár aniž by jsi musel znovu replikovat celou db, protože si to pamatuje ten switch a umí dohrát rozdíly.
Zdar Max

[plostenka]

No jasne, kdyz mas vic SSID v ramci lokalniho sysplexu (propojenych systemu) tak taky kooperuji nad stejnyma datama. Kdyz ne, tak navic transparentne na pozadi bezi replikace (nereplikuji se data, ale queries + metadata). Rozbalancovani provozu si resi sysplex sam, ale systemak to muze doladit pres JES2/LWM).

Jinak ja nerozporuju ze neco Oracle neumi, ale ze to neni opravdu unikatni feature :)

[..... Izak .....]

SQL jako tokova si nic, tam mame PostreSQL - ktery je dost kompatibilni, vlastne na svete jsou jen 2 DB - BerkleyDB - ze ktere vnikli PostrgreeSQL a Oracle. Oracle se dale stepil na Informix a Sybase, ze ktere vnzikl MS SQL - ano MS SQL je Sybase a tedy oracle engine a ta druha nezavisla DB je IBM DB2 ... zbytek je nejeke cudo, ajko smejd MuSQL - coz snad neni ani databaze, je to tyakovy inteligentni disk a je primarne na cteni a nejci nadsenci do ni pridavaji veci na vice zapisu a podobne veci, tregba i transakce - coz je podle m,e k nicemu, kdyz je primarne na obcasny single zapis a hodne cteni, pak ruzne borlandi veci atd. ale hlavni jsou Oracle a PostgreSQL like a IBM DB2

Oracli moznost obnova kazde transakce zvlaste je asi k nicemu, s tim se nikdo nepatla, RAC Cluster je sice pian, ale fakt to funguje - pak je to logika v DB

Výkon a škálovatelnost: Oracle databáze je navržena tak, aby zvládala velké objemy dat a vysoké zatížení. Bezpečnost: Oracle poskytuje robustní bezpečnostní funkce, včetně šifrování dat, řízení přístupu a auditu Podpora pro transakce: Oracle podporuje ACID vlastnosti (Atomicita, Konzistence, Izolace, Trvanlivost), což zajišťuje spolehlivost a integritu dat při provádění transakcí. Pokročilé funkce: Oracle nabízí širokou škálu pokročilých funkcí, jako jsou replikace, clustering, partitioning a analytické funkce, které umožňují efektivní správu a analýzu dat. Integrace s dalšími nástroji:Takze kdyz firma dela ISO audit, nebo podprora v aplikaci ze

Vnitrni logika - na jednu stranu nenvidena, na druhou pokud apka nebezi na serveru ale u klienta, tak vam modifikovany klient muze hacknoiut databazi nebo aplikaci, coz se u logiky v DB dit moc nemuze, nebot klient temer nic nedela.

Podpora pro transakce: PL/SQL umožňuje snadné řízení transakcí, což zajišťuje, že všechny operace jsou prováděny atomicky a v souladu s ACID vlastnostmi.

Možnost vytváření uložených procedur a funkcí: Uložené procedury a funkce umožňují opakované použití kódu a zjednodušují složité operace, což zvyšuje efektivitu vývoje.

Podpora pro výjimky: PL/SQL poskytuje robustní mechanismy pro zpracování výjimek, což umožňuje efektivní správu chyb a zajištění stability aplikací.

Optimalizace výkonu: Vlastní logika může být optimalizována pro konkrétní potřeby aplikace, což může vést k lepšímu výkonu než obecné SQL dotazy.

Treba PostgreeSQL ma Triggery, ma i PL/SQL ale uz nema plno vylepseni, ktere ma Oracle a nema to zadna jina Oracle like databaze ... konec koncu Oracle dnes vbykrtada kod PostgreeSQL - coz je legalni, nebot je pod BSD licenci

Treba replikace v PostgreeSQL existuje, ale vice mene externe - jde tam udelat 1 master co zapisuje a vice slaves na cteni - ale skladate to sami ... dnes casto pres kafka mozna i rabbitmq, nebo ruzne proxy - aby byla nejak zarucena transaklce, ze tam data budou - imho na tom se v PostgreSQL pracuje a mozna uz je to lepsi ..

Co se vnitrni logiky tyce tak ta funguje v Oracle skvele, co se replikaci a skalovatelnosti nebo RAC tyce, tak to funguje s problemy, ale funguje ...

[RealJ]

tak treba si zkus udelat v konkurencnich produktech databazi o velikosti petabajtu dat, vse v active-active a napis jak to dopadlo... Oracle nemam rad, jsou to picusove kam se podivas, ale u opravdu velikych reseni konkurenci nemaj.

[Max]

Největší db, co spravuji, má asi zatím jen 15TB :).
Zdar Max

[RealJ]

Njn, to ja videl oracle db v desitkach tb docela bezne. Kdyz jsem poprve videl db o velikosti 700tb tak jsem si myslel ze jiz nic vetsiho nikdy neuvidim. Pletl jsem se. Nastesti me nikdy databaze nebavili protoze tohle bych tedy fakt nechtel resit.

[koroptev]

ja o ty db vim timhle zpusobem z dob pred 20 lety, kdy OS alternativy pravdepodobne byly v plenkach

[Ivan3]

Pokud jde HW, tak Oracle ma Exascale. Je to urcene zejmena pro DB servery. Ty nemaji pripojene disky na primo, ale pristupuji ke storage pred 100GBit sit za pouziti RDMA.

A pak je tu partnerstvi v NVIDIA a hosting serveru pro AI.

[🇹🇬]

crowdstrike, to sou ty samý kuli kterejm byl někdy loni ten velikatatatatánskej celosvětovej vypadek windows, ne?? :O :D :O :D

[Peter Golis]

Ešte by mohli prizvať SolarWinds, a mali by to poriešené 123.

[Radovan]

NBUSR123?

[Peter Golis]

Tri Uhorky approved.