LONDON (IT BOLTWISE) – Angreifer nutzten eine SQL-Injection in einer public-facing Oracle-Anwendung, um über Java-Objekte im Datenbank-Engine-Kontext SYSTEM-Kommandos auszuführen. Dabei setzten sie kein binäres Dropper-Executable auf dem Dateisystem ein, sondern ließen Oracle Java Source in gespeicherte Schema-Objekte kompilieren und daraus Befehle starten. Huntress ordnet das Toolkit unter dem Namen khunt ein und verband die Taten mit nachweisbaren SYSTEM-Level-Aktionen auf dem zugrunde liegenden Windows-Server. Für die Abwehr reicht deshalb nicht nur ein Patch auf der Datenbankseite; entscheidend sind Validierung, parametrisierte Queries und strikt minimale Rechte für das App-Konto.
Eine SQL-Injection in einer public-facing Oracle-Anwendung wirkt auf den ersten Blick wie ein klassischer Einstiegspunkt: Unvalidierte Benutzereingaben gelangen per JDBC in die Datenbank, wo sie eigentlich nur Abfragen beeinflussen dürften. In der von Huntress untersuchten Kette wird daraus jedoch ein wesentlich tieferer Zugriff, weil die kompromittierte Web-App über eine Datenbankverbindung verfügte, die ausreichend Rechte für die Erstellung von Java-Objekten im Oracle-Schema besaß. Der entscheidende Unterschied liegt in der späteren Ausführung: Die Angreifer schreiben keinen ausführbaren Code als Datei auf die Festplatte, sondern lassen Oracle eingebettete Java-Funktionalität nutzen, um Java Source Code in gespeicherte Schema-Objekte zu kompilieren. So wird aus einer Eingabesicherheitslücke eine Art „Beachhead“ in der Datenbank-Engine selbst, der weit mehr ermöglicht als nur das Auslesen von Informationen.
Technisch beginnt der Angriff in einem Autocomplete-Search-Feld, dessen Eingaben nicht validiert an die Datenbank weitergereicht werden. Über diese Lücke können Angreifer Java Database Connectivity so ansteuern, dass Oracle letztlich eine Folge von CREATE-Statements ausführt. Huntress beschreibt die verwendete Technik als Einsatz von Oracle embedded Java Virtual Machine (JVM): Mit CREATE JAVA SOURCE können Nutzer Java-Quelltext an die Datenbank übergeben, die ihn dann als Schemaobjekt ablegt und kompiliert. Im eigenen Schema nennt die Oracle-Dokumentation als relevante Schwelle eine Systemberechtigung, insbesondere CREATE PROCEDURE, die typischerweise nicht für normale Anwendungskonten vorgesehen ist. Wenn ein Java-Objekt dann auf Klassen wie Runtime.exec zugreift, wird zwar ein Betriebssystemprozess angestoßen, doch dessen Start setzt zusätzliche Berechtigungen für Datei- oder Exec-Freigaben voraus – Huntress weist darauf hin, dass das kompromittierte Konto offenbar so ausgestattet war, dass die Kette insgesamt erfolgreich blieb, ohne dass die genauen Grants im Bericht vollständig aufgeschlüsselt sind.
Das von Huntress nachverfolgte Toolkit trägt den Namen khunt und setzt auf einer Architektur auf, die mindestens seit 2006 öffentlich dokumentiert ist. In dieser älteren Referenzdatei (raptor_oraexec.sql) werden Oracle-Source-Objekte mit Methoden für Command Execution und File Read angelegt, anschließend über PL/SQL-Wrapper in SQL verfügbar gemacht. Die khunt-Objekte folgen derselben Grundlogik, aber sie werden in einem Set aus mehreren Java-Objekten plus zugehörigen PL/SQL-Funktionen gebündelt: KhuntCmd dient zum Laden von cmd.exe und zum Ausführen beliebiger Betriebssystemkommandos, die als SQL übergeben werden. KhuntHash zielt auf Credential-Daten: Es liest Benutzer- und Hashinformationen aus Oracle-internen Tabellen und schreibt sie in eine Datei. Ergänzend kommt eine Dateimanipulationsschicht mit KhuntFS und KhuntFS2 zum List- und Lesezugriff, KhuntUnzip zum Entpacken von Archiven sowie KhuntT als Erreichbarkeits- oder Testfunktion. Der kritische Beleg aus der Untersuchung: Der Aufruf von cmd.exe /c whoami innerhalb der Kette liefert SYSTEM-Kontext.
Nachdem die Kommandofunktion stand, verlagerten die Angreifer ihre Schritte in Richtung Windows-Datenhaltung und -Artefakte. Im Bericht wird beschrieben, dass PowerShell und reg.exe eingesetzt wurden, um die Registry hives SECURITY und SYSTEM zu lokalen Pfaden wie F: \Oracle zu kopieren. Danach wurden Statusinformationen über tasklist /svc in eine Datei wie khunttasks.txt geschrieben, und für die weitere Aufbereitung nutzten die Angreifer esentutl.exe, um unter anderem die SAM- und SECURITY-Hives auszulesen. Huntress hat dabei die lokale Staging-Phase beobachtet, stellt aber zugleich klar, dass sich aus den vorliegenden Daten nicht endgültig belegen ließ, ob und wie die Dateien anschließend exfiltriert wurden. Damit verschiebt sich das Verteidigungsproblem von „nur“ Datenbankabfragen hin zu der Frage, wie ein App-Konto in der Praxis in der Lage ist, gespeicherte Codepfade bis in Betriebssystemaktionen zu treiben – und warum gängige Endpoint Detection and Response Systeme die Oracle-internen Schritte nicht automatisch im Detail inspizieren.
Auch die Reaktionsstrategie zeigt, warum das Thema für Security-Teams anspruchsvoll bleibt. Huntress empfiehlt zum Auffinden von Spuren eine gezielte Suche in der Oracle-Installation nach Objekt-Namen, die mit Khunt beginnen, sowie eine Korrelation in SQL-Logs nach Mustern wie KHUNT%. Gleichzeitig warnt der Bericht implizit davor, dass Indikatoren, die ausschließlich auf dieses spezifische Toolkit zugeschnitten sind, nicht automatisch die eigentliche Schwachstelle abdecken – die Malicious Requests seien zwar mit einem konkret identifizierten IP-Indikator verknüpft worden, doch derartige Muster sind allein nicht robust genug, um die generische Angriffsarchitektur zu erkennen. Die eigentliche Lücke sitzt in der Anwendung: parameterisierte Queries und eine strikte Input-Validierung müssen verhindern, dass aus Benutzereingaben überhaupt steuerbare SQL-Bausteine werden. Ergänzend braucht es Least Privilege auf Datenbankebene: Ein Konto, das nur eine public-facing App betreibt, sollte nicht Java-Source erstellen, keine Stored-Procedures ausführen dürfen, für die es keinen betrieblichen Zweck gibt, und erst recht keine Rechte erhalten, die über die rein fachliche Datenzugriffsrolle hinausgehen.
Über die akute Incident-Relevanz hinaus lässt sich aus der Untersuchung ein breiteres Muster ableiten: Oracle-Funktionen wie die eingebettete JVM sind seit langem bekannt, aber sie geraten in modernen Angriffsketten wieder in den Fokus, wenn Rechte und Input-Schutz nicht zusammenpassen. Wenn das App-Konto CREATE-ähnliche Privilegien mitbringt, kann eine SQL-Injection in Kombination mit Datenbank-native Codeausführung zum Multiplikator werden. Für Unternehmen bedeutet das, dass Security-Checks nicht an der Trennung „Web layer versus Datenbank layer“ stoppen dürfen. Gerade weil die Angreifer keinen klassischen Dropper auf dem Dateisystem ablegen müssen, helfen auch reine File-IO-Erkennungsmuster oft zu wenig. Stattdessen braucht es eine Kombination aus (1) sauberer Anwendungsarchitektur, (2) härtesten Rollenmodellen für Datenbankzugriffe und (3) einer Log-Korrelation, die gespeicherte Objekt- und SQL-Aktivitäten ernst nimmt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Khunt-Toolkit: SQL-Injection in Oracle führt zu SYSTEM-Codeausführung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Khunt-Toolkit: SQL-Injection in Oracle führt zu SYSTEM-Codeausführung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Khunt-Toolkit: SQL-Injection in Oracle führt zu SYSTEM-Codeausführung« bei Google Deutschland suchen, bei Bing oder Google News!