Schwachstellen in Oracle-Datenbankservern (SYSS-2021-061/-062)

Oracle Native Network Encryption ist das standardmäßig verwendete Protokoll zur Absicherung von Verbindungen mit Oracle-Datenbankservern. Im Rahmen eines Forschungsprojektes untersuchte die SySS die Sicherheitseigenschaften dieses proprietären Sicherheitsprotokolls und identifizierte mitunter schwerwiegende Schwächen in Design und Umsetzung.

Insbesondere kann ein Angreifer eine gesicherte Verbindung eines legitimen Nutzers übernehmen und sich so Zugang zur Oracle-Datenbank mit dessen Berechtigungen verschaffen. Dies wird im neuen SySS-YouTube-Video anschaulich vorgeführt.

Eine umfassendere Beschreibung des Protokolls sowie die Analyse von Sicherheitsaspekten finden sich im Fachartikel “Oracle Native Network Encryption – Breaking a Proprietary Security Protocol”.

Detaillierte Informationen zu der gefundenen Schwachstelle finden Sie in unseren Security Advisories / You will find detailed information about these security issues in our Security Advisories:

• SYSS-2021-061
• SYSS-2021-062

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.