Oracle rò rỉ 6 triệu dữ liệu người dùng do lỗ hổng bảo mật 4 năm tuổ.i

Loan Chi09:39 25/04/2025

Một tin tặc đã khai thác lỗ hổng bảo mật trong hệ thống Oracle Cloud để đán.h cắp khoảng 6 triệu dữ liệu người dùng.

Theo báo cáo từ CloudSEK, kẻ tấ.n côn.g với biệt danh “rose87168″ đã tận dụng lỗ hổng CVE-2021-35587 tồn tại trong Oracle Access Manager (một phần của bộ công cụ Oracle Fusion Middleware) để truy cập trái phép vào hệ thống đăng nhập của Oracle. Đây là lỗ hổng cho phép thực thi mã từ xa mà không cần xác thực, từng được đán.h giá là có mức độ nguy hiểm cao từ năm 2021.

Dữ liệu bị đán.h cắp bao gồm Java KeyStore (JKS), mật khẩu LDAP được mã hóa, khóa bảo mật JPS và cả thông tin đăng nhập một lần (SSO). Những thông tin này vốn được sử dụng để xác thực trong môi trường doanh nghiệp, nếu rơi vào tay hacker có thể dẫn đến rủi ro truy cập trái phép vào hệ thống nội bộ, đán.h cắp tài sản trí tuệ hoặc làm gián đoạn hoạt động vận hành.

Hacker công bố một phần dữ liệu lấy được từ hệ thống Oracle Cloud. ẢNH: CHỤP MÀN HÌNH

Theo Hackread, tin tặc không chỉ rao bán các dữ liệu trên diễn đàn ngầm, mà còn yêu cầu tiề.n chuộc từ những tổ chức bị ảnh hưởng để đổi lấy việc xóa dữ liệu. Kẻ tấ.n côn.g thậm chí còn kêu gọi cộng đồng giúp giải mã mật khẩu bị mã hóa để gây áp lực với nạ.n nhâ.n. CloudSEK nhận định vụ việc có thể ảnh hưởng đến 140.000 khách hàng, phần lớn là doanh nghiệp sử dụng Oracle Cloud để triển khai ứng dụng và lưu trữ dữ liệu nhạy cảm.

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã phát cảnh báo về khả năng lạm dụng lỗ hổng này và khuyến nghị các tổ chức áp dụng bản vá lỗi ngay lập tức nếu chưa triển khai. CISA cũng đưa CVE-2021-35587 vào danh sách lỗ hổng đang bị khai thác tích cực từ cuối năm 2022.

Về phía mình, Oracle phủ nhận sự cố có liên quan đến Oracle Cloud Infrastructure (OCI), cho rằng dữ liệu bị rò rỉ đến từ các máy chủ cũ không còn hoạt động, không liên quan đến nền tảng OCI hiện tại. Tuy nhiên, CloudSEK nói một số khách hàng xác nhận mẫu dữ liệu bị tung lên mạng thực sự khớp với thông tin đăng nhập hợp lệ mà họ đang sử dụng.

Video đang HOT

N.ữ sin.h 1998 tìm ra bốn lỗ hổng của Oracle

Lê Mỹ Quỳnh, sinh viên năm ngành An toàn thông tin tại Hà Nội, được Oracle vinh danh nhiều lần vì tìm ra các lỗ hổng nghiêm trọng.

"Xin chào mọi người, mình là Quỳnh Lê. Mình đang là sinh viên năm cuối Học viện Kỹ thuật Mật mã và là Security Researcher, đang tập trung nghiên cứu các lỗ hổng trên nền tảng Java", Quỳnh giới thiệu về bản thân tại một buổi webinar của giới bảo mật hồi tháng 10/2020. Trong năm vừa qua, cô sinh viên sinh năm 1998 phải nhiều lần nhắc lại câu giới thiệu này trong các buổi thuyết trình bởi ít ai nghĩ, c.ô b.é mới hơn 20 tuổ.i dáng người nhỏ nhắn lại "sưu tầm" được 4 lỗ hổng bảo mật ở mức độ nghiêm trọng cao trong chưa đầy một năm. Cô cũng trở thành diễn giả được yêu thích tại nhiều sự kiện an toàn thông tin.

Lê Mỹ Quỳnh đang là sinh viên năm cuối ngành An toàn thông tin. Ảnh: Lưu Quý.

CVE là cách gọi chung cho các lỗ hổng bảo mật, theo chuẩn của tổ chức quốc tế MITRE. Bốn CVE được Quỳnh tìm ra gồm CVE-2020-14625, CVE-2020-14825, CVE-2020-2883, CVE-2020-2798. Trong đó, ba lỗ hổng được các chuyên gia đán.h giá ở mức 9,8/10 về mức độ nghiêm trọng, xuất hiện trên máy chủ WebLogic của Oracle. Đây là máy chủ ứng dụng được sử dụng bởi hàng chục nghìn công ty trên khắp thế giới, mang lại doanh thủ tỷ USD cho hãng công nghệ khổng lồ nước Mỹ. Nếu không được phát hiện sớm, các lỗ hổng trên có thể bị giới hacker khai thác, chiếm quyền điều khiển, gây ra những hậu quả khó lường.

Oracle thường công bố danh sách lỗ hổng, cùng bản vá cho các sản phẩm của mình theo từng quý trong năm. Quỳnh Lê, được nhắc tên 3 trong 4 quý trong năm vừa qua, ở tuổ.i 23, và còn chưa tốt nghiệp đại học.

Đến với bảo mật không vì đam mê

Với CVE đầu tiên trong đời, Quỳnh mất 2 tuần mới tìm ra, nhưng trước đó là 2 tháng để nghiên cứu, gần 4 năm ròng tích lũy kiến thức. Nhiều lúc quá trình tìm lỗi đi vào bế tắc, nhưng nhờ cố gắng và đam mê, cô đã đến đích.

Quay lại quá khứ, Quỳnh nhận mình không đến với ngành này vì đam mê hay có mục tiêu cụ thể, mà đơn giản là thấy "hay hay" và phù hợp với bản thân. "Ngày xưa em cũng thích máy tính, hay mày mò, nên nghĩ mình hợp với ngành kỹ thuật hơn là xã hội. Em chọn ngành này vì thấy ở trường có chương trình cho đi du học", Quỳnh kể lại.

Cô sinh viên năm nhất, yêu sách văn học, biết đán.h đàn, đã hoàn thành chương trình học với thành tích tốt, đỗ xuất du học của trường. Nhưng đến khi đạt được mục tiêu ban đầu, Quỳnh nhận ra mình thực sự yêu thích ngành an toàn thông tin và quyết định ở lại để có thể dấn thân vào công việc sớm hơn.

Cuối năm thứ hai đại học, khi chập chững bước vào các môn học chuyên ngành, Quỳnh đã tìm đến những anh chị khóa trên để học hỏi và được đưa đến học việc tại trung tâm an toàn thông tin của VNPT.

"Đến khi vào làm, em thực sự bị cuốn theo công việc này. Ban đầu là tìm hiểu, rồi được các anh đi trước hướng dẫn, rồi thấy ham vào yêu thích ngành này luôn", Quỳnh nói.

Lần đầu tìm ra lỗ hổng của sản phẩm Oracle là cuối năm 2019. Cô sinh viên năm 4 khi ấy sung sướng đến mức rú lên, rồi lại lo lắng khi nghĩ về việc có thể ai đó đã tìm ra lỗ hổng này trước mình. Theo Quỳnh, đó là những cảm xúc cô không bao giờ quên, khi đam mê của mình tạo ra thành quả và được ghi nhận.

Ước mơ ra thế giới

Để tìm ra một lỗ hổng, những người làm bảo mật như Quỳnh mất nhiều tháng để nghiên cứu sản phẩm và các lỗ hổng đã được tìm ra trước đó. Việc "ôm" máy tính hàng chục tiếng đồng hồ mỗi ngày không phải là điều xa lạ với cô gái này.

Tuy nhiên, tìm ra một lỗi đã khó, việc chứng minh lỗ hổng còn khó hơn. "Cũng giống việc nói một ổ khóa cũ là kém an toàn, chúng ta cần chỉ ra cách kẻ xấu có thể phá ổ khóa đó", Quỳnh ví von. Cô cho biết, công đoạn khó nhất với cô trong quá trình tìm lỗ hổng là viết mã tấ.n côn.g nó.

"Một kỹ sư phải thực sự hiểu về lỗi và sản phẩm trước khi tìm ra một CVE mang tên mình", Quỳnh nhấn mạnh. Các lỗ hổng cô tìm ra đều từ sản phẩm WebLogic của Oracle, vốn được xây dựng bằng ngôn ngữ Java, đồng thời dùng để triển khai cho các ứng dụng web được viết bằng ngôn ngữ lập trình này.

Thời gian qua, Quỳnh tập trung vào các vấn đề liên quan đến lỗ hổng Java Deserialization ảnh hưởng đến cơ chế chuyển đổi trạng thái đối tượng trong lập trình. Hầu hết lỗ hổng mà Quỳnh khai thác đều liên quan đến cơ chế này. Có lỗi tìm ra trong một tuần, nhưng cũng có chiếc khiến cô mất cả tháng.

Ngay cả khi đã tìm ra, việc xác nhận và tung ra bản vá có thể cũng mất nhiều tháng chờ đợi. Trong khi ở lĩnh vực này, việc được ghi nhận càng sớm càng giảm thiệt hại cho cả doanh nghiệp và người dùng.

Quỳnh ấp ủ ước mơ trở thành người có sức ảnh hưởng trong ngành bảo mật toàn cầu. "Em muốn được làm những việc khó hơn, lớn hơn và trở thành một nhà nghiên cứu chuyên nghiệp. Xa hơn, em muốn mình được thuyết trình tại một hội nghị bảo mật tầm thế giới", Quỳnh nói.

Trong tương lai gần, cô sinh viên năm cuối Học viện Kỹ thuật Mật mã hy vọng sẽ hoàn thành việc học để tập trung phát triển đam mê. Mỗi ngày, Quỳnh dành tám tiếng ban ngày để làm việc tại Trung tâm An toàn thông tin, tối về là thời gian cho đồ án tốt nghiệp.

Khác với hình dung của nhiều người về một chuyên gia bảo mật chỉ cặm cụi bên máy tính, Quỳnh chọn cuộc sống cân bằng. "Em luôn giữ cho tâm lý thoải mái, sắp xếp thời gian hợp lý và ăn đúng giờ, ngủ đúng giờ, cuối tuần gặp gỡ bạn bè". Khi công cuộc tìm "bug" gặp bế tắc, cô chọn phương án "gập máy tính và đi chơi".

Cô n.ữ sin.h bảo mật không coi tuổ.i đời trẻ hay giới tính nữ là vấn đề, bởi "tất cả đều bình đẳng trước các lỗ hổng bảo mật". Chia sẻ về bí quyết giúp mình đạt được những CVE đầu tiên, Quỳnh nhấn mạnh vào sự kiên trì và khả năng học hỏi, bởi theo Quỳnh, an toàn thông tin vẫn là một công việc khó, đòi hỏi sự kiên trì chứ không thể làm vừa làm đã có thành tích ngay. Hơn nữa, công nghệ luôn thay đổi, nên người trẻ cũng không thể chủ quan và cần học hỏi cái mới liên tục.

Xu hướng tấ.n côn.g bằng mã độc tống tiề.n tiếp tục tăng Theo báo cáo của hãng bảo mật Kaspersky, kết thúc quý 2/2019 hãng đã ngăn chặn 16.017 vụ tấ.n côn.g của mã độc tống tiề.n (ransomware). Số lượng ransomware này tăng hơn gấp đôi so với quý 2/2018 (7.620 trường hợp). Đây là một phần nằm trong báo cáo Kaspersky IT Threat Evolution quý 2/2019, và cũng ghi nhận có hơn 230.000 người...

Bạn thấy bài viết này có hữu ích không?

Có

Không

Tin liên quan

Xem thêm Share

Xem nhiều

Người dùng Galaxy tại Việt Nam bắt đầu nhận One UI 703:50

One UI 7 chậm chạp khiến Samsung mất vị thế dẫn đầu thế giới Android09:37

Google dừng hỗ trợ, hàng triệu điện thoại Android gặp nguy hiểm08:58

Apple lỡ hẹn với AI, người dùng Việt chịu thiệt?09:57

Google nâng tầm Gemini với khả năng tạo video dựa trên AI08:26

Google ra mắt công cụ AI cho phép tạo video từ văn bản và hình ảnh00:45

TikTok Trung Quốc lần đầu công bố thuật toán gây nghiệ.n02:32

Giá iPhone sẽ tăng vì một 'siêu công nghệ' khiến người dùng sẵn sàng móc cạn ví00:32

Apple muốn tạo bước ngoặt cho bàn phím MacBook05:51

Tính năng tìm kiếm tệ nhất của Google sắp có trên YouTube09:14

Tiêu điểm

Tin đang nóng

Tin mới nhất

One UI 7 kìm hãm sự phổ biến của Android 15?

12:59:41 29/04/2025

Theo Sammy Fans, One UI 7 được đán.h giá là một trong những bản nâng cấp phần mềm đáng giá nhất từ Samsung, nhưng quá trình triển khai lại đang gây ra nhiều thất vọng.

Chuẩn USB từng thay đổi cả thế giới công nghệ vừa tròn 25 tuổ.i

12:53:51 29/04/2025

TheoTom s Hardware, ngày 27.4 vừa qua đán.h dấu cột mốc quan trọng, khi chuẩn kết nối Universal Serial Bus (USB) 2.0 chính thức tròn 25 tuổ.i.

Tính năng tìm kiếm tệ nhất của Google sắp có trên YouTube

12:47:40 29/04/2025

Google đã triển khai AI Overview cho một số người dùng YouTube nhằm mục đích cải thiện trải nghiệm, tuy nhiên một số lo ngại đã được đưa ra.

Làm chủ chế độ PiP của YouTube với 3 thủ thuật ít người biết

10:34:38 29/04/2025

Bạn đã biết cách khai thác hết khả năng của chế độ xem trên cửa sổ thu nhỏ (Picture-in-Picture - PiP) của YouTube?

Apple Maps hỗ trợ chỉ đường qua CarPlay tại Việt Nam

08:26:38 29/04/2025

Khi kết nối iPhone với màn hình xe hơi qua CarPlay, Apple Maps có thể hiển thị tính năng chỉ đường thời gian thực tại Việt Nam.

Giới công nghệ 'loạn nhịp' vì khái niệm AI PC

08:06:44 29/04/2025

Gần đây, thị trường máy tính cá nhân (PC) đã chứng kiến sự xuất hiện của một loại máy tính mới mang tên máy tính AI (hay AI PC).

Android 16 sắp có thể 'chặn đứng' thiết bị USB độc hại

07:33:51 28/04/2025

Theo HowToGeek, nỗi lo về việc dữ liệu cá nhân có thể bị đán.h cắp khi cắm điện thoại vào các cổng USB không đáng tin cậy, đặc biệt là tại các trạm sạc công cộng, có thể sắp được giải quyết phần nào.

Gemini sắp có mặt trên các thiết bị sử dụng hằng ngày

07:17:10 28/04/2025

Trong một thông báo quan trọng, Google đã xác nhận trợ lý AI Gemini sẽ thay thế Google Assistant trên toàn bộ hệ sinh thái của công ty.

Apple khuyên người dùng iPhone xóa trình duyệt Chrome

06:51:39 28/04/2025

Gần đây, Apple tái phát sóng một quảng cáo cho trình duyệt Safari mà công ty lần đầu tiên tung ra vào tháng 7 năm ngoái.

Windows Maps của Microsoft sắp bị 'khai tử'

12:51:31 27/04/2025

Trước đó, Microsoft đã loại bỏ tính năng hỗ trợ bản đồ ngoại tuyến và ứng dụng Windows Maps cũng không còn được cài đặt sẵn trên các bản cài đặt mới của Windows 11 phiên bản 24H2

ChatGPT vừa miễn phí tính năng AI cao cấp cho tất cả người dùng

12:46:48 27/04/2025

Theo TechRadar, OpenAI đã chính thức mang tính năng nghiên cứu chuyên sâu Deep Research đến với những người dùng ChatGPT miễn phí. Tuy nhiên, niềm vui này vẫn đi kèm với một số giới hạn.