Un presunto ciberataque compromete credenciales de SSO y LDAP de Oracle Cloud
El 20 de marzo de 2025, un usuario del foro de ciberdelincuentes Breach Forums, identificado como “rose87168”, afirmó haber robado seis millones de registros de los servicios SSO y LDAP de Oracle Cloud. El atacante puso a la venta la información o la ofreció a cambio de exploits de día cero. Según la publicación, los datos robados incluyen contraseñas cifradas de SSO y LDAP, archivos Java Keystore (JKS), claves y JPS keys del Enterprise Manager.
Posible vector de ataque y vulnerabilidad explotada
El atacante declaró haber comprometido servidores de Oracle a través de la dirección ‘login.(region-name).oraclecloud.com’ mediante una vulnerabilidad conocida en Oracle Cloud. Aunque no se ha divulgado ninguna prueba de concepto (PoC) pública, se especula que el ataque pudo haber explotado una falla crítica en Oracle Fusion Middleware, posiblemente la CVE-2021-35587.
Respuesta de Oracle y análisis de expertos
Oracle negó la brecha de seguridad y aseguró a varios medios de comunicación que no se ha producido pérdida de datos ni compromiso de clientes de Oracle Cloud. Invetigadores analizaron la publicación en Breach Forums y afirmó haber encontrado un endpoint SSO de producción comprometido que respalda la afirmación del atacante. El servidor afectado (login.us2.oraclecloud.com) es un endpoint de producción válido utilizado para autenticación OAuth2 y generación de tokens.
Impacto y medidas de mitigación
El incidente podría afectar a las 140,000 organizaciones listadas en la publicación del atacante y a muchas otras que utilizan soluciones SaaS alojadas en Oracle Cloud. Como medida de precaución, la empresa de ciberseguridad Arctic Wolf recomienda:
- Restablecer credenciales de Oracle: Cambiar las contraseñas de SSO y LDAP, así como cualquier otra credencial asociada.
- Actualizar métodos de autenticación de Oracle: Regenerar hashes SASL/MD5 o migrar a métodos más seguros.
- Implementar MFA y políticas de contraseñas robustas: Refuerza la seguridad de accesos críticos.
Aunque la veracidad de la brecha aún está en investigación, las organizaciones deben actuar con prontitud para mitigar posibles riesgos y reforzar sus estrategias de ciberseguridad.
