Eine Untersuchung der CloudSEK-Plattform XVigil hat einen Cyberangriff auf Oracle Cloud aufgedeckt, bei dem sechs Millionen Datensätze exfiltriert wurden. Über 140.000 Kunden könnten betroffen sein. Ein Hacker mit dem Alias „rose87168“ stahl sensible Daten wie JKS-Dateien, verschlüsselte SSO-Passwörter, Schlüsseldateien und JPS-Schlüssel des Enterprise Managers.

Diese Daten werden nun auf Darknet-Foren zum Verkauf angeboten.

Der Angreifer, der seit Januar 2025 aktiv ist, behauptet, sich Zugang zu einem Oracle-Cloud-Subdomain-Login verschafft zu haben. Dieses Subdomain wurde mittlerweile entfernt. Laut CloudSEK wurde möglicherweise eine bekannte Sicherheitslücke (CVE-2021-35587) in Oracle Fusion Middleware ausgenutzt, die bereits 2022 von CISA als kritisch eingestuft wurde. Betroffen waren unter anderem Versionen

11.1.2.3.0
12.2.1.3.0
12.2.1.4.0

Die Middleware wurde offenbar zuletzt 2014 aktualisiert, was auf veraltete Software hinweist.

Oracle bestreitet jeglichen Sicherheitsvorfall und erklärt, dass es keine Kompromittierung der Cloud-Infrastruktur gegeben habe und keine Kundendaten verloren gegangen seien. Dies widerspricht den Erkenntnissen von CloudSEK und den Behauptungen des Hackers.

Sollte der Angriff tatsächlich stattgefunden haben, könnte dies schwerwiegende Folgen haben. Besonders problematisch ist die Exfiltration von JKS-Dateien mit kryptografischen Schlüsseln, die den Zugang zu weiteren Systemen ermöglichen könnten. Auch die Kompromittierung von SSO- und LDAP-Passwörtern könnte zu weiteren Angriffen führen.

CloudSEK empfiehlt betroffenen Organisationen eine sofortige Änderung aller Zugangsdaten, eine umfassende forensische Untersuchung, eine kontinuierliche Bedrohungsüberwachung und eine enge Zusammenarbeit mit Oracle Security zur Schadensbegrenzung. Zudem sollte die Zugangskontrolle verstärkt werden, um zukünftige Angriffe zu verhindern.

https://hackread.com/oracle-denies-breach-hacker-access-6-million-records/