Oracleデータベースが認証部分のバグで脆弱性を抱える

Oracleデータベースには、ハッカーたちが悪用できる重大な認証のバグがある。いや、ハッカーにかぎらず誰でも、その欠陥を利用してデータに強引にアクセスすることができる。今日（米国時間9/20）アルゼンチンで行われたセキュリティ関連のカンファレンスで、ある研究者が、実際の攻撃の例をプレゼンした。

その欠陥により誰もが、誰かのユーザ名を使ってOracleの認証プロトコルを悪用できる。Dark Readingによると、研究者Martinez Fayoと彼のチームは、このバグを2010年5月にOracleに報告し、2011年半ばに修復された。

Dark Readingより引用すると:

“しかし彼らは現行バージョンを修復しなかったので、現在のバージョン11.1と11.2にはまだ脆弱性がある”、とMartinez Fayoは言っている。Oracleに、バージョン11.1の欠陥を直す計画はない。

その欠陥は、煎じ詰めると、最初の認証ハンドシェイクの間の情報リークである。攻撃のために、“中間者(man-in-the-middle)”は必要としない。セキュリティのエキスパートたちは、ITのアドミン自身が欠陥の回避策を開発することを勧めている。

ここ数か月、Oracleの重大なセキュリティの欠陥がいくつか見つかっている。この最新の攻撃が衝撃的なのは、認証プロトコルを悪用するからだ。ハッカーたちは簡単にユーザのデータを入手できる。

複数のアカウントのなりすましを行えば、中間者攻撃も可能だ。

Salesforce.comは、今週行われたDreamforceカンファレンスで、同社のすべてのエンタプライズアプリケーションにシングルサインオンを適用する、と発表した。このような、外部プラットホームを利用する本人性認証の一点集中化は、これからますます重要になるだろう。Oracleの欠陥が示しているのは、データが安全であるためには、その保護の仕組みが高品質でなければならない、ということだ。

[原文へ]
（翻訳：iwatani(a.k.a. hiwa)）