Digest de Seguridad de Base de Datos – Octubre 2018

Por favor, eche un vistazo a los mayores incidentes de seguridad de bases de datos en octubre de 2018.

FitMetrics

Una empresa líder en software de fitness podría haber expuesto millones de cuentas de sus clientes que contienen información personal. Eso ocurrió debido a una falla en la protección de su base de datos en la nube.

Los investigadores dicen que encontraron la base de datos Elasticsearch expuesta, alojada en AWS, utilizando una técnica muy simple. El almacenamiento en la nube tiene 119GB de datos pertenecientes a la empresa FitMetrics. Los investigadores también encontraron una nota de rescate adjunta a la base de datos, aunque parece que los intentos de hackeo no tuvieron éxito. Y ahora la base de datos está expuesta y desprotegida. Los datos expuestos incluían nombre, género, dirección de correo electrónico, fecha de nacimiento, teléfono de casa y trabajo, altura, peso y mucho más. El número total de registros afectados es de millones. La empresa aseguró nuevamente la base de datos cinco días después.

Cathay Pacific

Una aerolínea más, concretamente Cathay Pacific, ha sido víctima de una gran brecha de datos. Se ha informado que los datos de 9.4 millones de pasajeros podrían haber sido robados. La aerolínea declaró que encontró rastros de acceso no autorizado a su sistema informático que contenía mucha información personal sensible, principalmente de sus clientes.

Los datos personales expuestos contienen lo siguiente: nombre del pasajero; nacionalidad; fecha de nacimiento; número de teléfono; correo electrónico; dirección; número de pasaporte; número de membresía del programa de viajero frecuente; comentarios del servicio al cliente e información de viajes histórica. La aerolínea dice que no se ha filtrado información de tarjetas bancarias. Aún no se sabe cómo se llevó a cabo el ataque de hackeo, pero la empresa está contactando a todos los pasajeros afectados y proporcionándoles información sobre los pasos que pueden tomar para protegerse.

Los expertos en seguridad informática dicen que después de un ataque exitoso de hackeo habrá más intentos de hackear el sistema nuevamente y pueden tener éxito nuevamente.

Pocket iNet

El equipo de ciber-riesgo UpGuard encontró un servidor AWS S3 expuesto en línea. El servidor pertenece al proveedor de Internet del estado de Washington, Pocket iNet. La empresa dejó su servidor sin ninguna contraseña y prácticamente cualquiera podía ver lo que había dentro de sus bases de datos. La información expuesta incluía 73 gigabytes de datos descargados. Los datos incluían contraseñas y otra información confidencial, que iba desde hojas de cálculo hasta imágenes y diagramas. A Pocket iNet le tomó aproximadamente una semana asegurar los datos expuestos.

Los proveedores de servicios de Internet que forman parte de la Infraestructura Crítica de los EE. UU. son de especial interés para los grupos de amenazas de adversarios estatales. Se informa que la configuración incorrecta de AWS por parte de Pocket iNet es la razón de esta exposición de datos. El problema de configuración incorrecta de AWS, desafortunadamente, no es infrecuente y no depende del tamaño de la empresa.

Actualizaciones de seguridad para bases de datos

Oracle

https://nvd.nist.gov/vuln/detail/CVE-2018-3277
https://nvd.nist.gov/vuln/detail/CVE-2018-3278
https://nvd.nist.gov/vuln/detail/CVE-2018-3279
https://nvd.nist.gov/vuln/detail/CVE-2018-3280
https://nvd.nist.gov/vuln/detail/CVE-2018-3281
https://nvd.nist.gov/vuln/detail/CVE-2018-3282
https://nvd.nist.gov/vuln/detail/CVE-2018-3283
https://nvd.nist.gov/vuln/detail/CVE-2018-3284
https://nvd.nist.gov/vuln/detail/CVE-2018-3285
https://nvd.nist.gov/vuln/detail/CVE-2018-3286

MS SQL Server

https://nvd.nist.gov/vuln/detail/CVE-2018-3251
https://nvd.nist.gov/vuln/detail/CVE-2018-3174
https://nvd.nist.gov/vuln/detail/CVE-2018-3156
https://nvd.nist.gov/vuln/detail/CVE-2018-3143
https://nvd.nist.gov/vuln/detail/CVE-2018-3133
https://nvd.nist.gov/vuln/detail/CVE-2018-8533
https://nvd.nist.gov/vuln/detail/CVE-2018-8532
https://nvd.nist.gov/vuln/detail/CVE-2018-8527

Amazon Athena

https://nvd.nist.gov/vuln/detail/CVE-2016-10152

Google Cloud SQL

https://nvd.nist.gov/vuln/detail/CVE-2018-1819
https://nvd.nist.gov/vuln/detail/CVE-2018-15755
https://nvd.nist.gov/vuln/detail/CVE-2018-0404

Apache Impala

https://nvd.nist.gov/vuln/detail/CVE-2018-11792
https://nvd.nist.gov/vuln/detail/CVE-2018-11785
https://nvd.nist.gov/vuln/detail/CVE-2017-9792

Elasticsearch

https://nvd.nist.gov/vuln/detail/CVE-2017-12629

Apache Hive

https://nvd.nist.gov/vuln/detail/CVE-2018-11784