Webanwendungen auf SQL-Injection-Schwachstellen prüfen und patchen.
Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Attackers Compile khunt Inside Oracle to Turn SQL Injection Into Windows SYSTEM Access
Angreifer nutzten eine SQL-Injection-Schwachstelle in einer Webanwendung, um in eine Oracle-Datenbank einzudringen. Dort kompilierten sie Java-Quellcode direkt in der Datenbank zu einem Post-Exploitation-Toolkit namens "khunt", um Befehle auszuführen. Betroffene Organisationen sollten ihre Webanwendungen auf SQL-Injections prüfen und die Sicherheit ihrer Datenbanken verstärken.
SecBoard-Einordnung
Diese Angriffsmethode zeigt, wie Angreifer eine anfängliche SQL-Injection-Schwachstelle nutzen können, um direkt in der Datenbank ein Post-Exploitation-Toolkit zu kompilieren und auszuführen. Dies umgeht herkömmliche Endpunktsicherheitskontrollen, da keine ausführbaren Dateien auf die Festplatte geschrieben werden, und kann zu weitreichendem Systemzugriff führen.
Realistisch schlimmster Fall: Ein Angreifer erlangt über eine SQL-Injection SYSTEM-Zugriff auf den Host, der die Oracle-Datenbank hostet, was zur vollständigen Kompromittierung des Servers und der darauf befindlichen Daten führen kann.
Empfehlung: Webanwendungen auf SQL-Injection-Schwachstellen prüfen und patchen. Oracle-Datenbanken auf ungewöhnliche Kompilierung oder Ausführung von Code überwachen und die Datenbankhärtung verbessern.
Betroffen
Organisationen, die Oracle-Datenbanken in Verbindung mit Webanwendungen betreiben, die anfällig für SQL-Injections sind.
Prüfen
3- ▸Überprüfen Sie alle öffentlich zugänglichen Webanwendungen auf bekannte SQL-Injection-Schwachstellen mittels automatisierten Scans und manuellen Tests.
- ▸Überprüfen Sie die Konfiguration Ihrer Oracle-Datenbanken, um sicherzustellen, dass die Kompilierung von Java-Code nur von autorisierten Benutzern und Prozessen möglich ist und unnötige Berechtigungen eingeschränkt sind.
▸ 1 weitere▾ weniger
- ▸Implementieren und überprüfen Sie Protokollierungs- und Überwachungsmechanismen für Oracle-Datenbanken, um ungewöhnliche Aktivitäten wie die Kompilierung von Code oder die Ausführung von Systembefehlen zu erkennen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen Versionen von Oracle-Datenbanken oder Webanwendungen betroffen sind.
- ▸Es werden keine konkreten CVEs oder IOCs genannt.
- ▸Die genaue Methode, wie 'khunt' SYSTEM-Zugriff erlangt, wird nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir Oracle extern erreichbar?
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ohne ausführbare Dateien auf die Festplatte zu schreiben.“
„kompilierten sie Java-Quellcode direkt in der Datenbank zu einem Post-Exploitation-Toolkit namens "khunt", um Befehle auszuführen.“
„potenziell zu Windows SYSTEM-Zugriff führen.“
„Angreifer nutzten eine SQL-Injection-Schwachstelle in einer Webanwendung, um in eine Oracle-Datenbank einzudringen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextAttackers Compile khunt Inside Oracle to Turn SQL Injection Into Windows SYSTEM Access
- BleepingComputerKontextPlug and Pwn attack uses fake USB devices for Windows SYSTEM access
Der Vorgang wird seit 6 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.