El pasado jueves 20 de marzo, un atacante identificado como rose87168 publicó varios archivos que incluían una base de datos de muestra, información LDAP y una lista de empresas cuyos datos, según afirmaba, fueron robados de la plataforma SSO de Oracle Cloud.
Oracle negó haber sufrido una vulneración de datos tras el anuncio del atacante sobre la venta de 6 millones de registros presuntamente extraídos de los servidores de inicio de sesión único (SSO) federados de Oracle Cloud, afectando a más de 140.621 organizaciones. Entre los registros se encontraban cientos de dominios de América Latina.
La compañía declaró: «No se ha producido ninguna vulneración de datos en Oracle Cloud. Las credenciales publicadas no corresponden a Oracle Cloud. Ningún cliente de Oracle Cloud sufrió una vulneración ni perdió datos».
Como prueba adicional, el atacante compartió una URL de Internet Archive que mostraba que subió un archivo .TXT con su dirección de correo electrónico de ProtonMail al servidor login.us2.oraclecloud.com.
Presunta filtración de datos de Oracle
rose87168 vende los datos presuntamente robados del servicio SSO de Oracle Cloud por un precio no revelado o a cambio de exploits de Zero-Day. Afirma que los datos, incluidas las contraseñas SSO cifradas, los archivos del almacén de claves Java (JKS), los archivos de claves y las claves JPS del administrador empresarial, fueron robados tras hackear los servidores de Oracle login.(region-name).oraclecloud.com.
«Las contraseñas SSO están cifradas y se pueden descifrar con los archivos disponibles. También se pueden descifrar las contraseñas con hash LDAP», afirma rose87168.
«Enumeraré los dominios de todas las empresas incluidas en esta filtración. Las empresas pueden pagar una cantidad específica para eliminar la información de sus empleados de la lista antes de que se venda».
También han ofrecido compartir algunos de los datos con cualquiera que pueda ayudar a descifrar las contraseñas SSO o descifrar las contraseñas LDAP.
Acceso a servidores y negativa del pago
El actor de amenazas declaró haber obtenido acceso a los servidores de Oracle Cloud hace unos 40 días y afirmar haber enviado un correo electrónico a la empresa tras exfiltrar datos de las regiones de nube US2 y EM2. rose87168 solicitó a Oracle el pago de 100.000 XMR por información sobre cómo vulneraron los servidores, pero la empresa se negó a pagar tras solicitar «toda la información necesaria para la corrección y el parche».
Confirmación de filtración
El actor de amenazas compartió una muestra de 10.000 líneas para fundamentar sus afirmaciones. El análisis de este conjunto de datos reveló varias conclusiones cruciales:
- Amplio impacto en todas las organizaciones: la muestra contiene datos de más de 1.500 organizaciones únicas, lo que indica una filtración significativa.
- Autenticidad de los datos: el volumen y la estructura de la información filtrada dificultan enormemente su falsificación, lo que refuerza la credibilidad de la filtración.
- Indicadores de acceso a producción: muchas organizaciones afectadas tienen ID de tenant con el formato {tenant}-dev, {tenant}-test y {tenant}, lo que sugiere firmemente que el actor de amenazas también tiene acceso a entornos de producción.
- Exposición de correos electrónicos personales: el conjunto de datos incluye una cantidad considerable de direcciones de correo electrónico personales, probablemente debido a que las organizaciones permiten la autenticación basada en SSO para sus usuarios y clientes.
- Investigadores independientes que también recibieron este archivo pudieron verificar la validez de la filtración y confirmar que se trata de una violación legítima.
Dado que los supuestos datos podrían dar lugar a ataques generalizados a la cadena de suministro, CloudSek publicó una herramienta gratuita para comprobar si su organización figura en la lista de víctimas compartida por el atacante.
CVE-2021-35587
El actor de amenazas afirmó que todos los servidores de Oracle Cloud utilizan una versión vulnerable con un CVE-2021-35587 público que ya ha sido explotado anteriormente y que en 2022 ya tenía un exploit público conocido.
El CVE-2021-35587 (CVSS 9.8) se publicó en enero de 2022. Se trata de una vulnerabilidad en el producto Oracle Access Manager de Oracle Fusion Middleware que permite a un atacante no autenticado (Pre-auth) con acceso a la red a través de HTTP comprometer Oracle Access Manager y tomar el control total del sistema para llevar a cabo la ejecución remota de código (RCE).
Dado que Oracle Access Manager, definido en la guía de instalación, es una aplicación de seguridad de nivel empresarial que proporciona una gama completa de funciones de seguridad de perímetro web, esto puede tener graves consecuencias para las víctimas de este tipo de ataques.
Las versiones afectadas son: 11.1.2.3.0, 12.2.1.3.0 y 12.2.1.4.0
La primera prueba de concepto fue publicada en marzo de 2022 por los investigadores de seguridad Janggggg y Peterjson. Desde entonces, también han aparecido otras PoC, ofreciendo a los atacantes una gran variedad de opciones.
Filtración confirmada
La negación por parte de Oracle contradice las conclusiones de BleepingComputer, que recibió muestras adicionales de los datos filtrados del atacante y contactó a las empresas asociadas. Lo mismo han hecho diversos investigadores y todos llegan a la misma conclusión: la filtración es real.
Representantes de estas empresas, quienes aceptaron confirmar los datos bajo la promesa de anonimato, confirmaron la autenticidad de la información. Las empresas declararon que los nombres para mostrar, las direcciones de correo electrónico, los nombres de pila y demás información de identificación de LDAP asociados eran correctos y les pertenecían.
El atacante también compartió correos electrónicos con BleepingComputer, afirmando formar parte de un intercambio entre ellos y Oracle. Un correo electrónico muestra al atacante contactando con el correo electrónico de seguridad de Oracle (secalert_us@oracle.com) para informar que habían pirateado los servidores.
Otro hilo de correo electrónico compartido con Bleep, muestra un intercambio entre el atacante y alguien que usa una dirección de ProtonMail y afirma ser de Oracle. En este intercambio de correos electrónicos, el atacante afirma que alguien de Oracle, usando la dirección @proton.me, le dijo: «Hemos recibido sus correos. Usemos este correo para todas las comunicaciones a partir de ahora. Avísenme cuando lo reciban».
La empresa de ciberseguridad CloudSek también encontró una URL de Archive.org que muestra que el servidor «login.us2.oraclecloud.com» ejecutaba Oracle Fusion Middleware 11g el 17 de febrero de 2025. Oracle desconectó este servidor tras informarse de la presunta brecha.
Esta versión del software se veía afectada por la vulnerabilidad mencionada (CVE-2021-35587) que permitía a atacantes no autenticados comprometer Oracle Access Manager. El actor de amenazas afirmó que esta vulnerabilidad se aprovechó para vulnerar los servidores.