Neue Lücke in Oracle-Datenbank entdeckt

Dem Sicherheitsforscher David Litchfield zufolge können sich Angreifer mit der Methode ,,Lateral SQL-Injection" auf einem Oracle-Server die Administratorenrechte besorgen. Damit können sie Daten modifizieren respektive löschen und Software installieren. Bei einer SQL-Injection versuchen Angreifer, SQL-Befehle mittels speziell manipulierter Suchbegriffe in der Datenbank auszuführen. Litchfields Attacke zielt auf die von Oracle-Entwicklern verwendete Programmiersprache PL/SQL und lässt sich mittels bisher als unbedenklich eingestuften Datentypen (,,Date", ,,Number") realisieren. Unklar ist, wie verbreitet die spezifischen SQL-Injection-Schwachstellen sind. In jedem Fall können Angreifer damit beträchtlichen Schaden anrichten. Datenbank-Programmierer sollen laut Litchfield ihren Code überprüfen. Damit soll sichergestellt werden, dass sämtliche verarbeiteten Daten legitim und nicht etwa injizierte SQL-Befehle sind.