• Skip to main content

Naga Cyber Defense

Trusted Security for all of Indonesia

  • Home
  • About
  • Programs
  • Contact
  • Blog
You are here: Home / Archives for Oracle

Oracle

Tim Merah NSA akan Menyerang Penyedia JWCC untuk Menguji Keamanan Tanpa Kepercayaan

January 21, 2023 by Coffee Bean

WASHINGTON – Tidak ada kepercayaan, tetapi verifikasi: Itulah strategi yang sedang dicoba Pentagon untuk penyedia cloud sektor swasta yang baru

Mulai musin semi ini, peretas tim merah dari National Security Agency – dan mungkin juga tim merah angkatan bersenjata – akan meluncurkan serangkaian serangan selama berbulan-bulan terhadap sistem keamanan tanpa kepercayaan di cloud yang dijalankan oleh Amazon Web Services, Google, Microsoft dan Oracle, menurut kepala kantor tanpa kepercayaan Departemen Pertahanan.

Penting untuk dipahami bahwa ini adalah permintaan, bukan mandat, dan bahwa kepatuhan terhadap standar tanpa kepercayaan Resnick bukanlah persyaratan dari kontrak JWCC itu sendiri. Sebaliknya, ini adalah eksperimen untuk melihat seberapa cepat CSP komersial kelas atas dapat menerapkan standar tersebut, yang ditetapkan oleh Strategi Zero Trust [PDF] Pentagon.

setidaknya ke level “Target” dasar, yang membutuhkan 91 perlindungan khusus. Satu atau lebih dari empat vendor mungkin mencapai tingkat “Lanjutan” yang lebih menuntut, yang membutuhkan tambahan 61.

DoD Information ENterprise - Zero Trust Guidance
Tinjauan tentang Strategi Zero Trust Pentagon 2022 (grafik DoD CIO)

Tujuannya adalah untuk memberikan banyak pilihan kepada angkatan bersenjata, badan pertahanan dan organisasi DoD lainnya, bukan jaket pengekang, kata Resnick. Beberapa fungsi mission-critical mungkin tidak akan pernah bisa dipindahkan ke cloud sama sekali, katanya. Dalam kasus tersebut, perlindungan zero-trust harus dicangkokkan ke sistem on-premise yang ada, sebuah proses yang melelahkan yang diharapkan Resnick akan memakan waktu hingga 2027. “Itulah mengapa kami memiliki rencana lima tahun,” katanya.

selengkapnya : breakingdefense

Tagged With: Google, Microsoft, NSA, Oracle, Red Teaming, Zero trust

Kepala keamanan TikTok mengundurkan diri saat perusahaan memindahkan data AS ke server Oracle

July 18, 2022 by Eevee

Chief Security Officer (CSO) global TikTok, Roland Cloutier, mengundurkan diri saat perusahaan bertransisi menggunakan server Oracle yang berbasis di AS untuk menyimpan data orang Amerika (melalui The Wall Street Journal).

Perusahaan membagikan memo internal tentang perubahan dalam sebuah posting di ruang beritanya, yang menyatakan Cloutier akan mengambil peran sebagai penasihat, dengan kepala risiko keamanan, vendor, dan jaminan klien TikTok, Kim Albarella, mengambil alih sementara.

Pada bulan Juni, TikTok mengumumkan bahwa mereka telah mulai merutekan data pengguna AS ke server Oracle dalam upaya untuk memadamkan kekhawatiran bahwa China tempat perusahaan induk TikTok, ByteDance, berbasis memiliki akses tak terkendali ke informasi ini.

CEO TikTok Shou Zi Chew dan wakil presiden teknologi ByteDance Dingkun Hong mengatakan perubahan itu datang sebagai cara untuk “meminimalkan kekhawatiran tentang keamanan data pengguna di AS,” tetapi juga “mengubah ruang lingkup Global Chief Security Officer (CSO) peran.”

Seorang juru bicara TikTok mengatakan kepada WSJ bahwa Cloutier tidak terlibat dalam mengelola departemen baru TikTok yang didedikasikan untuk menangani data pengguna AS. Dia juga menjelaskan bahwa perubahan organisasi ini telah dilakukan berbulan-bulan sebelum politisi AS memanas di TikTok.

Selama bertahun-tahun, TikTok telah diteliti terkait hubungannya dengan ByteDance yang berbasis di China, dengan beberapa pejabat AS menuduh aplikasi tersebut menyedot data Amerika ke pemerintah China.

Bulan lalu, BuzzFeed News merilis laporan yang mengklaim bahwa karyawan TikTok di China “berulang kali” mengakses data pengguna AS dari setidaknya September 2021 hingga Januari 2022.

Menanggapi laporan tersebut, sekelompok senator Republik menulis surat kepada TikTok yang mempertanyakan validitas kesaksian perusahaan tentang privasi data selama sidang yang berlangsung Oktober lalu.

TikTok menanggapi kekhawatiran ini awal bulan ini, sekali lagi mengulangi rencananya untuk bekerja dengan Oracle untuk “sepenuhnya melindungi data pengguna.”

Sumber: The Verge

Tagged With: AS, ByteDance, Oracle, Roland Cloutier, TikTok

Cacat keamanan kriptografik Java telah ditambal

April 21, 2022 by Eevee

Java versi 15 hingga 18 mengandung cacat dalam validasi tanda tangan ECDSA-nya yang membuatnya sepele bagi penjahat untuk menandatangani file dan data lain secara digital seolah-olah mereka adalah organisasi yang sah.

Oleh karena itu, penjahat dunia maya dapat menyebarkan unduhan berbahaya yang ditandatangani secara kriptografis dan informasi palsu seolah-olah itu nyata, dan aplikasi serta layanan Java yang terpengaruh tidak akan mengetahui perbedaannya.

Cakupan kerusakan yang dapat terjadi sangat luas: komunikasi terenkripsi, token otentikasi, pembaruan kode, dan banyak lagi, yang dibangun di atas kode cacat Oracle dapat ditumbangkan, dan sejauh menyangkut program yang ditulis dengan Java, data terlihat sah dan dapat dipercaya.

Kesalahan itu ditambal bulan ini oleh Oracle di antara lebih dari 500 kerentanan yang ditangani oleh raksasa basis data kuartal ini – jadi, seperti biasa, perbarui lebih awal dan perbarui sesering mungkin.

ECDSA adalah singkatan dari Elliptic Curve Digital Signature Algorithm. Ini menggunakan kriptografi kurva eliptik, yang implementasinya telah mengalami berbagai masalah selama bertahun-tahun.

Meskipun Oracle hanya memberikan kelemahan keamanan terbaru ini (CVE-2022-21449) peringkat keparahan 7,5 dari 10, konsultan keamanan ForgeRock yang mengatakan telah mengetahuinya, dan mengungkapkannya secara pribadi, pada bulan November menilai kerentanan sepuluh.

Yang sangat menarik tentang masalah ini adalah sangat mudah untuk dieksploitasi, dan kesalahan pemrograman yang jelas. Bug tersebut diperkenalkan ketika bagian dari kode verifikasi tanda tangan Java 15 ditulis ulang dari C++ asli ke dalam Java itu sendiri termasuk kode verifikasi ECDSA.

Untuk menyederhanakan apa yang terjadi, tanda tangan ECDSA terdiri dari sepasang angka, disebut sebagai (r, s). Untuk memverifikasi tanda tangan, kode melakukan beberapa matematika yang melibatkan hash (sidik jari, jika Anda mau) dari data, kunci publik dari organisasi atau orang mana pun yang menandatangani data secara digital, r, dan s; satu sisi persamaan menggunakan r, sisi lain r dan s.

Kedua sisi perhitungan ini harus sama agar pemeriksaan tanda tangan lolos. Itu berarti data ditandatangani secara digital oleh kunci pribadi penandatangan, yang menunjukkan bahwa data berasal dari atau disetujui oleh penandatangan. Jika pemeriksaan tanda tangan gagal, itu kemungkinan berarti siapa pun yang menandatangani data bukanlah seperti yang mereka katakan (karena mereka tidak memiliki akses ke rahasia, kunci pribadi yang sesuai dengan kunci publik yang diberikan) dan data tidak boleh tepercaya.

Secara teori, agar tanda tangan valid, (r, s) tidak boleh (0, 0) karena beberapa matematika melibatkan perkalian angka-angka ini dengan nilai lain. Bug muncul karena kode C++ asli memeriksa bahwa r dan s bukan nol, dan tidak akan menerima tanda tangan jika memang demikian. Kode Java baru tidak memeriksa, itu hanya melanjutkan dan dihitung dengan nilai-nilai.

Hasilnya adalah bahwa dalam versi kode yang terpengaruh, siapa pun yang menunjukkan tanda tangan kosong akan diterima. Jalur verifikasi normal masih berfungsi dengan baik, itulah sebabnya hal ini tidak diperhatikan dua tahun lalu. Itu baru saja menerima (0,0), dan berhasil memvalidasinya.

Dan ini adalah di atas kelemahan eksekusi kode jarak jauh gazillon, tanpa otentikasi yang diperlukan untuk mengeksploitasi, di produk Oracle lainnya. ®

Cacat ini telah dijelaskan oleh Neil Madden dari ForgeRock sebagai kerentanan kertas psikis, setelah perangkat plot dari episode Doctor Who 2007. Hering kutu buku Anda yang rendah hati menganggapnya lebih seperti kartu imp dari novel 1987 A A Attanasio In Other Worlds:

Anda akan menerima artefak ketiga dan terakhir, pelat magnet penghubung imp. Kelihatannya identik dengan kartu charge, hanya saja warnanya putih bersih. Masukkan ke dalam sistem komputer bank mana pun dan Anda akan dikreditkan dengan sejumlah besar modal nyata.

Sumber : The Register

Tagged With: ECDSA, Java, Oracle

Oracle Memberikan 390 Perbaikan Keamanan Dengan CPU April 2021

April 22, 2021 by Winnie the Pooh

Oracle minggu ini mengumumkan rilis 390 perbaikan keamanan baru sebagai bagian dari Critical Patch Update (CPU) April 2021, termasuk tambalan untuk lebih dari 200 bug yang dapat dieksploitasi dari jarak jauh tanpa otentikasi.

Kumpulan patch keamanan triwulanan menangani total 41 kerentanan yang dianggap sebagai tingkat keparahan kritis, termasuk 5 yang menampilkan skor CVSS 10.

Kerentanan yang paling parah ini dapat dieksploitasi untuk mengeksekusi kode dari jarak jauh dalam konteks aplikasi yang rentan, yang berpotensi mengakibatkan kompromi sistem penuh.

Oracle’s E-Business Suite menerima patch untuk jumlah lubang keamanan terbesar, yaitu 70. Dari jumlah tersebut, 22 dapat dieksploitasi dari jarak jauh oleh penyerang yang tidak berkepentingan, Oracle mengungkapkan.

MySQL juga sangat terpengaruh, dengan tambalan untuk 49 kerentanan, 10 di antaranya dapat dieksploitasi dari jarak jauh tanpa otentikasi.

Organisasi disarankan untuk meninjau tambalan triwulanan Oracle dan menerapkan pembaruan perangkat lunak yang diperlukan sesegera mungkin, untuk memastikan mereka tetap terlindungi dari potensi serangan. Oracle mengatakan secara berkala menerima laporan serangan yang menargetkan kerentanan lama yang tambalannya sudah tersedia.

Menerapkan prinsip hak istimewa terendah, mendidik pengguna tentang phishing dan ancaman yang ditimbulkan oleh tautan dan lampiran dalam email, menjaga sistem selalu diperbarui, dan menjalankan perangkat lunak sebagai pengguna yang tidak memiliki hak istimewa akan membantu mengurangi potensi serangan dunia maya.

Sumber: Security Week

Tagged With: Oracle, RCE, Security, Security Patch, Vulnerability

Mahkamah Agung Amerika memihak Google dalam pertarungan hak cipta epik melawan Oracle

April 6, 2021 by Winnie the Pooh

Pengadilan tinggi di AS berbicara banyak tentang teknologi minggu ini. Mahkamah Agung mempertimbangkan perselisihan hukum panjang Google dengan Oracle pada hari Senin, membatalkan kemenangan sebelumnya untuk perusahaan terakhir yang bisa menghasilkan penghargaan $ 8 miliar.

Dalam keputusan 6-2, pengadilan memutuskan bahwa Google tidak melanggar undang-undang hak cipta saat memasukkan bagian dari bahasa perangkat lunak Java Oracle ke dalam sistem operasi selulernya sendiri. Google menyalin kode Oracle untuk Java API untuk Android, dan kasus ini memicu perdebatan selama bertahun-tahun tentang penggunaan kembali API dan hak cipta yang sudah ada.

Pada tahun 2018, pengadilan banding federal memutuskan bahwa Google memang melanggar undang-undang hak cipta dengan menggunakan API dan bahwa penerapannya tidak termasuk dalam penggunaan wajar.

“Dalam meninjau keputusan tersebut, kami berasumsi, demi argumen, bahwa materi tersebut dapat dilindungi hak cipta. Namun kami berpendapat bahwa penyalinan yang dipermasalahkan di sini merupakan penggunaan yang wajar. Karenanya, penyalinan Google tidak melanggar undang-undang hak cipta,” tulis Hakim Stephen Breyer dalam keputusan tersebut, yang membalikkan kemenangan Oracle sebelumnya. Hakim Samuel Alito dan Clarence Thomas berbeda pendapat.

“Penyalinan Google terhadap Java SE API, yang hanya menyertakan baris kode yang diperlukan untuk memungkinkan pemrogram menggunakan bakat mereka yang masih bertambah untuk bekerja dalam program baru dan transformatif, adalah penggunaan yang adil dari materi tersebut sebagai masalah hukum,” Breyer menulis.

Google SVP of Global Affairs Kent Walker menyebut keputusan tersebut sebagai “kemenangan besar untuk inovasi, interoperabilitas & komputasi”.

Sumber: Tech Crunch

Tagged With: Copyright, Google, Oracle

Kerentanan Oracle yang menjalankan kode berbahaya sedang aktif dieksploitasi

December 2, 2020 by Winnie the Pooh

Penyerang menargetkan kerentanan Oracle WebLogic yang baru-baru ini ditambal. Kerentanan ini memungkinkan mereka mengeksekusi kode yang mereka inginkan, termasuk malware yang menjadikan server bagian dari botnet yang mencuri kata sandi dan informasi sensitif lainnya.

WebLogic adalah aplikasi enterprise Java yang mendukung berbagai database. Server WebLogic adalah hadiah yang didambakan oleh para peretas, yang sering menggunakannya untuk menambang cryptocurrency, memasang ransomware, atau sebagai jalan masuk untuk mengakses bagian lain dari jaringan perusahaan.

Dilacak sebagai CVE-2020-14882, ini adalah kerentanan kritis yang ditambal Oracle pada bulan Oktober tahun ini. Ini memungkinkan penyerang untuk mengeksekusi kode berbahaya melalui Internet dengan sedikit usaha atau keterampilan dan tanpa otentikasi. Kode eksploitasi tersedia untuk umum delapan hari setelah Oracle mengeluarkan tambalan.

Menurut Paul Kimayong, seorang peneliti di Juniper Networks, peretas secara aktif menggunakan lima variasi serangan berbeda untuk mengeksploitasi server yang masih rentan terhadap CVE-2020-14882.

Di antara variasinya adalah salah satu yang menginstal bot DarkIRC. Setelah terinfeksi, server menjadi bagian dari botnet yang dapat menginstal malware pilihannya, menambang cryptocurrency, mencuri kata sandi, dan melakukan serangan denial-of-service.

Varian exploit lainnya memasang payload lain seperti, Serangan Cobalt, Perlbot, Penafsir meteran, Mirai.

CVE-2020-14882 memengaruhi versi WebLogic 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, dan 14.1.1.0.0. Siapa pun yang menggunakan salah satu versi ini harus segera menginstal patch yang dikeluarkan Oracle pada bulan Oktober. Orang-orang juga harus menambal CVE-2020-14750, kerentanan terpisah namun terkait yang diperbaiki Oracle dalam pembaruan darurat dua minggu setelah menerbitkan tambalan untuk CVE-2020-14882.

Sumber: Ars Technica

Tagged With: Botnet, CVE-2020-14882, Cybersecurity, DarkIRC, Malware, Oracle, Security, Vulnerability, WebLogic

Penyerang Siber Melayani Backdoor Khusus untuk Perangkat Lunak Restoran Oracle

November 15, 2020 by Winnie the Pooh

Malware modular sangat canggih tetapi mungkin tidak dapat menangkap info kartu kredit. ModPipe, backdoor yang sebelumnya tidak dikenal, telah dibuat khusus untuk menyerang solusi point-of-sale (PoS) restoran dari Oracle. Terkenal karena kecanggihannya yang tidak biasa, menurut peneliti, dibuktikan dengan berbagai modulnya.

Kode tersebut secara khusus membidik Oracle MICROS Restaurant Enterprise Series (RES) 3700 POS – rangkaian perangkat lunak manajemen yang digunakan oleh ratusan ribu bar, restoran, hotel, dan perusahaan perhotelan lainnya di seluruh dunia, menurut ESET. Serangan tersebut terutama terjadi di AS, kata para peneliti – meskipun vektor infeksi awal tidak diketahui.

Salah satu modul perangkat lunak perusak yang dapat diunduh, yang disebut GetMicInfo, sangat unik, kata perusahaan itu. Ini mengendus dan mengeksfiltrasi kredensial yang memungkinkan operator ModPipe mengakses konten basis data, termasuk berbagai definisi dan data konfigurasi, tabel status, dan informasi tentang transaksi PoS.

sumber : ThreatPost

Tagged With: Backdoor, GetMicInfo, Micros, ModPipe, Oracle

Oracle Membunuh 402 Bug dalam Pembaruan Patch Oktober Besar-besaran

October 22, 2020 by Winnie the Pooh

Perushaan raksasa perangkat lunak Oracle mendesak pelanggan untuk memperbarui sistem mereka pada rilis Oktober dari Critical Patch Update triwulanan (CPU) nya, yang memperbaiki 402 kerentanan di berbagai keluarga produk.

Lebih dari setengah (272) kerentanan ini membuka produk hingga eksploitasi jarak jauh tanpa otentikasi. Itu berarti bahwa kekurangan tersebut dapat dieksploitasi melalui jaringan tanpa memerlukan kredensial pengguna.

Meskipun detail kekurangannya sendiri masih sedikit, dua dari kerentanan kritis yang diungkapkan oleh Oracle memberi peringkat skor keparahan tertinggi – 10 dari 10 – pada skala CVSS.

Kerentanan CVE-2020-1953, yang dapat dieksploitasi dari jarak jauh tanpa memerlukan kredensial pengguna, tidak memerlukan interaksi pengguna dan mudah untuk dieksploitasi, menurut Oracle. Versi yang terpengaruh termasuk 7.1.1, 7.2.0, 7.2.1 dan 7.3.0.

Pengguna dapat menemukan dokumen ketersediaan patch untuk setiap produk di sini.

Source: The Threat Post

Tagged With: Cybersecurity, Oracle, Patches, Security, Update

Copyright © 2025 · Naga Cyber Defense · Sitemap

Cookies Settings
We use cookies on our website to give you the most relevant experience by remembering your preferences and repeat visits. By clicking “Accept”, you consent to the use of ALL the cookies.
Do not sell my personal information.
AcceptReject AllCookie Settings
Manage consent

Privacy Overview

This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary
Always Enabled
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Functional
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytics
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
CookieDurationDescription
_ga2 yearsThe _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_11 minuteSet by Google to distinguish users.
_gid1 dayInstalled by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.
Advertisement
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Others
Other uncategorized cookies are those that are being analyzed and have not been classified into a category as yet.
non-necessary
SAVE & ACCEPT
Powered by CookieYes Logo