شکست اوراکل در طراحی ویژگی جدید

اوراکل به‌تازگی ویژگی جدید ویرایش داده‌ها را به محصول پایگاه ‌داده‌ خود یعنی Oracle Database 12c اضافه کرده است. این ویژگی برای راحتی کار مدیران پایگاه ‌داده به منظور محافظت خودکار داده‌های حساس مانند شماره‌ کارت‌های اعتباری یا اطلاعات سلامت افراد ایجاد شده است.  اما این ویژگی به راحتی و بدون نیاز به کد سوء‌استفاده قابل بهر‌ه‌برداری توسط مهاجمان است.

David Litchfield، یکی از محققان خودآموزی که تاکنون چندین آسیب‌پذیری خطرناک در محصولات اوراکل کشف کرده است، با نگاهی نزدیک به این ویژگی جدید، متوجه شده است که این ویژگی بدون حتی نیاز به استفاده از کد خاص، توسط مهاجم قابل سوء‌استفاده است.

وی در ارائه‌ای که در کنفرانس بلک‌هت ۲۰۱۴ داشته است، ویژگی جدید " ویرایش داده" را یک ایده‌ ناب خوانده است، اما در ادامه اذعان داشته که این ویژگی طوری طراحی شده است که مبانی ساده‌ امنیت را مد نظر قرار نداده و به همین دلیل دور زدن آن برای یک هکر راحت ترین کار ممکن را فراهم می آورد.

یکی از روش‌های سوءاستفاده از پایگاه‌داده‌ اوراکل RETURNING INTO نام دارد که منجر می شود تا داده‌ها به صورت مقدار بازگردانی شوند. وی در ادامه عنوان می‌کند که روش بعدی برای دور زدن ویژگی جدید ویرایش داده، استفاده از عبارت Select Where می‌باشد، که به مهاجم این امکان را می‌دهد در صورت حدس زدن داده‌های ممکن در ستونی که مخفی شده است، به داده‌ها دسترسی پیدا کند.

وی روش‌های سوء استفاده از این آسیب‌پذیری را به قدری ساده دیده است که حتی نام روش سوء‌استفاده را روی آن‌ها نمی‌گذارد و به عبارتی آن‌ها را اشتباه فاحش طراحان می‌نامند.