Database Security Digest – Oktober 2018

Bitte werfen Sie einen Blick auf die größten Datenbanksicherheitsvorfälle im Oktober 2018.

FitMetrics

Ein führendes Fitnesssoftwareunternehmen könnte Millionen von Kundenkonten mit persönlichen Informationen offengelegt haben. Dies geschah aufgrund eines Versagens beim Schutz ihrer Cloud-Datenbank.

Forscher berichten, dass sie die ungeschützte Elasticsearch-Datenbank, die auf AWS gehostet wird, mit einer sehr einfachen Technik gefunden haben. Der Cloud-Speicher enthält 119 GB Daten des Unternehmens FitMetrics. Die Forscher fanden auch eine Lösegeldforderung an der Datenbank angehängt, obwohl es scheint, dass die Hacking-Versuche erfolglos waren. Nun liegt die Datenbank immer noch offen und ungeschützt. Die offengelegten Daten umfassten Namen, Geschlecht, E-Mail-Adressen, Geburtsdaten, private und geschäftliche Telefonnummern, Größe, Gewicht und vieles mehr. Die Gesamtzahl der betroffenen Datensätze geht in die Millionen. Die Datenbank wurde fünf Tage später vom Unternehmen wieder gesichert.

Cathay Pacific

Eine weitere Fluggesellschaft, nämlich Cathay Pacific, ist Opfer eines großen Datenlecks geworden. Es wurde berichtet, dass Daten von 9,4 Millionen Passagieren gestohlen worden sein könnten. Die Fluggesellschaft erklärte, sie habe Spuren eines unbefugten Zugriffs auf ihr IT-System gefunden, das viele sensible persönliche Informationen ihrer Kunden enthielt.

Die offengelegten persönlichen Daten umfassten: Name des Passagiers, Nationalität, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Anschrift, Reisepassnummer, Vielfliegerprogramm-Mitgliedsnummer, Kundenserviceremarkierungen und historische Reiseinformationen. Die Fluggesellschaft behauptet, dass keine Bankkartendaten geleakt wurden. Noch ist unbekannt, wie der Hackerangriff durchgeführt wurde, aber das Unternehmen kontaktiert alle betroffenen Passagiere und gibt ihnen Informationen zu Schritten, die sie unternehmen können, um sich zu schützen.

IT-Sicherheitsexperten sagen, dass nach einem erfolgreichen Hacking-Angriff weitere Versuche folgen werden, das System erneut zu hacken, und dass sie erneut erfolgreich sein könnten.

Pocket iNet

Das Cyber-Risk-Team UpGuard fand einen exponierten AWS S3-Server online. Der Server gehört dem Internetanbieter Pocket iNet aus dem Bundesstaat Washington. Das Unternehmen ließ seinen Server ohne Passwort, sodass praktisch jeder den Inhalt ihrer Datenbanken einsehen konnte. Die offengelegten Informationen umfassten 73 Gigabyte heruntergeladener Daten. Die Daten umfassten Passwörter und andere sensible Informationen, von Tabellenkalkulationen bis hin zu Bildern und Diagrammen. Pocket iNet benötigte etwa eine Woche, um die offengelegten Daten zu sichern.

Internetdienstanbieter, die Teil der kritischen Infrastruktur der USA sind, sind von besonderem Interesse für feindliche Bedrohungsgruppen auf Staatenebene. Die falsch konfigurierte AWS von Pocket iNet wurde als Grund für diese Datenexposition gemeldet. Das Problem der falschen AWS-Konfiguration ist leider nicht ungewöhnlich und hängt nicht von der Unternehmensgröße ab.

Sicherheitsupdates für Datenbanken

Oracle

https://nvd.nist.gov/vuln/detail/CVE-2018-3277
https://nvd.nist.gov/vuln/detail/CVE-2018-3278
https://nvd.nist.gov/vuln/detail/CVE-2018-3279
https://nvd.nist.gov/vuln/detail/CVE-2018-3280
https://nvd.nist.gov/vuln/detail/CVE-2018-3281
https://nvd.nist.gov/vuln/detail/CVE-2018-3282
https://nvd.nist.gov/vuln/detail/CVE-2018-3283
https://nvd.nist.gov/vuln/detail/CVE-2018-3284
https://nvd.nist.gov/vuln/detail/CVE-2018-3285
https://nvd.nist.gov/vuln/detail/CVE-2018-3286

MS SQL Server

https://nvd.nist.gov/vuln/detail/CVE-2018-3251
https://nvd.nist.gov/vuln/detail/CVE-2018-3174
https://nvd.nist.gov/vuln/detail/CVE-2018-3156
https://nvd.nist.gov/vuln/detail/CVE-2018-3143
https://nvd.nist.gov/vuln/detail/CVE-2018-3133
https://nvd.nist.gov/vuln/detail/CVE-2018-8533
https://nvd.nist.gov/vuln/detail/CVE-2018-8532
https://nvd.nist.gov/vuln/detail/CVE-2018-8527

Amazon Athena

https://nvd.nist.gov/vuln/detail/CVE-2016-10152

Google Cloud SQL

https://nvd.nist.gov/vuln/detail/CVE-2018-1819
https://nvd.nist.gov/vuln/detail/CVE-2018-15755
https://nvd.nist.gov/vuln/detail/CVE-2018-0404

Apache Impala

https://nvd.nist.gov/vuln/detail/CVE-2018-11792
https://nvd.nist.gov/vuln/detail/CVE-2018-11785
https://nvd.nist.gov/vuln/detail/CVE-2017-9792

Elasticsearch

https://nvd.nist.gov/vuln/detail/CVE-2017-12629

Apache Hive

https://nvd.nist.gov/vuln/detail/CVE-2018-11784