Especialista mostra desativação de auditoria de banco de dados Oracle

Na Hactivity Conference deste ano,
realizada em Budapeste, Hungria, o especialista em segurança László Tóth
apresentou um método (pdf) considerado permissivo para que atacantes desabilitem as
funções de auditoria e os recursos de autenticação em todas as versões de bancos
de dados Oracle↳Oracle22 conteúdosOracle lança Java 26 para aumentar produtividade de desenvolvedoresDev (Back & Front) · mar 2026Oracle oferece o primeiro cluster de computação em nuvem em escala ZettaDevSecOps · jan 2025Oracle abre inscrições para o ONE, programa gratuito de formação em tecnologia e inteligência artificialData · dez 2024Ver tudo em Data →.

Para alcançar o objetivo, ele usou o utilitário oradebug, que faz parte de cada
instalação do Oracle. O recurso de auditoria é projetado para assegurar que as
ações de banco de dados sejam documentadas de forma confiável, que permite que
qualquer alteração seja traçada.

O oradebug possui comandos como poke, que foi utilizado para alterar o conteúdo
da memória em BASIC. Segundo Tóth,
o comando pode ser usado para desativar a auditoria para os usuários do
sistema, como SYSDBA e SYSOPER. O especialista explicou que o
único pré-requisito é que o atacante deve ser capaz de executar oradebug , o que
pode ser conseguido através do privilégio SYSDBA que, como Tóth mostrou em sua apresentação, pode ser
facilmente obtido por qualquer administrador de banco de dados.

Com o objetivo de desativar o recurso de auditoria, um atacante pode usar uma
instrução SQL simples
para recuperar o endereço de memória de uma variável do sistema interno da
table X$KSMFSV. Esse endereço é então colocado em zero:

SQL> oradebug poke 0×60031bb0 1 0
BEFORE: [060031BB0, 060031BB4) = 00000001
AFTER: [060031BB0, 060031BB4) = 00000000

Para Alexander Kornbrust, especialista em segurança da
Oracle, produtos como o Oracle Audit
Vault, que são baseados em funções de auditoria de banco de dados  – e, de acordo com a própria literatura da
Oracle, mesmo os log das ações dos usuários privilegiados – são
“praticamente inúteis”. Aparentemente, um usuário SYSDBA/SYSOPER pode temporariamente
desativar o sistema de auditoria, realizar algumas operações e, então, reativar
a função.

Com informações de Under-Linux