DataSunrise está patrocinando AWS re:Invent 2024 en Las Vegas, por favor visítenos en el stand #2158 de DataSunrise

Digest de Seguridad de Bases de Datos – Diciembre 2018

Por favor, eche un vistazo a los mayores incidentes de seguridad en bases de datos en diciembre 2018.

Quora

Quora se ha convertido en la última gran empresa tecnológica en sufrir una importante violación de datos. Este mes se ha conocido que la información de aproximadamente 100 millones de usuarios podría haber sido comprometida.

El sitio web Quora es un lugar extremadamente popular para obtener respuestas a tus preguntas. Pero, lamentablemente, una tercera parte malintencionada encontró su camino no autorizado a este sitio web. Quora está llevando a cabo una investigación forense sobre la causa exacta de este accidente.

La información potencialmente filtrada puede incluir información de cuenta como nombres, correos electrónicos y contraseñas encriptadas, así como datos de redes sociales como Facebook y Twitter. Además, los hackers también han obtenido acceso a la actividad de los usuarios: preguntas formuladas, respuestas dadas, comentarios, mensajes directos, votos positivos y negativos.

Los usuarios afectados han sido notificados y desconectados. La empresa cree haber identificado la causa raíz de este accidente y tomado medidas para solucionar el problema, aunque la investigación aún está en curso y Quora planea realizar mejoras en la seguridad informática.

120 Millones de Brasileños Expuestos

120 millones de brasileños han visto su información personal identificable expuesta en internet. Esto ocurrió debido a otra mala configuración de TI.

Este accidente se relaciona con el Cadastro de Pessoas Físicas (CPFs). Esta es la agencia que emite identificaciones especiales a todos los ciudadanos y residentes que pagan impuestos. Más de la mitad de la población del país más grande de América del Sur se ha visto afectada por este accidente.

Investigadores de seguridad en TI encontraron la base de datos con esta información expuesta en un servidor web Apache en marzo, después de una simple búsqueda en internet.

Después de algunas investigaciones, se descubrió que alguien había renombrado el archivo ‘index.html’ a ‘index.html_bkp,’ revelando el contenido del directorio. Cualquiera que conociera el nombre del archivo y navegara a él tendría acceso ilimitado a todas las carpetas y archivos dentro.

La agencia ha infringido las reglas básicas de seguridad en TI: no debería haber renombrado el archivo principal index.html o debería haber prohibido el acceso mediante la configuración de .htaccess.

Los investigadores esperan que esta base de datos se ponga pronto a la venta en la Dark Web. Se recomienda encarecidamente que el gobierno brasileño lleve a cabo una investigación exhaustiva sobre este accidente.

Boomoji

Una aplicación china popular, Boomoji, que tiene unos 5.3 millones de usuarios en todo el mundo permite a los usuarios de iOS y Android crear avatares en 3D.

Sin embargo, los datos personales de toda su base de datos fueron filtrados después de que Boomoji dejara 2 bases de datos ElasticSearch sin protección y sin contraseña.

La compañía distribuyó sus servidores, uno que servía a usuarios internacionales fue configurado en USA, y el otro, que servía a usuarios chinos, se basó en Hong Kong debido a las leyes de seguridad de datos de China. Estas 2 bases de datos contenían los nombres de usuario, género, país, tipo de teléfono, ID único de Boomoji, escuelas de usuarios. Además, las bases de datos contenían la geolocalización de aproximadamente 400 mil usuarios y las entradas de la libreta de contactos de cada usuario que permitió a la app acceder a sus contactos.

Como algunos usuarios permitieron el acceso a su libreta de contactos, el número total de personas potencialmente afectadas puede llegar a los 125 millones. Estas personas pueden ni siquiera saber que esta aplicación existe y aún así tener su información personal expuesta. Y todo eso debido a bases de datos vulnerables.

Los hackers están desarrollando sus herramientas para hackeo y encontrando vulnerabilidades todos los días. Por eso es tan importante mantener toda la información por la que eres responsable bajo tu total control. Y, por supuesto, simplemente dejar tus bases de datos a cargo en algún lugar desatendido es totalmente inapropiado.

Actualizaciones de seguridad para bases de datos

Oracle

https://nvd.nist.gov/vuln/detail/CVE-2018-16868
https://nvd.nist.gov/vuln/detail/CVE-2018-16869
https://nvd.nist.gov/vuln/detail/CVE-2018-19439

MySQL

https://nvd.nist.gov/vuln/detail/CVE-2018-17957
https://nvd.nist.gov/vuln/detail/CVE-2018-19439
https://nvd.nist.gov/vuln/detail/CVE-2018-15719
https://nvd.nist.gov/vuln/detail/CVE-2018-14704
https://nvd.nist.gov/vuln/detail/CVE-2018-14703
https://nvd.nist.gov/vuln/detail/CVE-2018-14700
https://nvd.nist.gov/vuln/detail/CVE-2018-14696
https://nvd.nist.gov/vuln/detail/CVE-2018-14695

MySQL

https://nvd.nist.gov/vuln/detail/CVE-2018-2497
https://nvd.nist.gov/vuln/detail/CVE-2018-2502

MS SQL Azure

https://nvd.nist.gov/vuln/detail/CVE-2018-8652

IBM DB2

https://nvd.nist.gov/vuln/detail/CVE-2018-1977

MongoDB

https://nvd.nist.gov/vuln/detail/CVE-2018-1784

Elasticsearch

https://nvd.nist.gov/vuln/detail/CVE-2018-17247
https://nvd.nist.gov/vuln/detail/CVE-2018-17244

Percona Server MySQL

https://nvd.nist.gov/vuln/detail/CVE-2018-19039

Siguiente

Digest de Seguridad de Bases de Datos – Enero 2019

Digest de Seguridad de Bases de Datos – Enero 2019

Más información

¿Necesita la ayuda de nuestro equipo de soporte?

Nuestros expertos estarán encantados de responder a sus preguntas.

Información general:
[email protected]
Servicio al Cliente y Soporte Técnico:
support.datasunrise.com
Consultas sobre Asociaciones y Alianzas:
[email protected]