#EPIC 0DAY ORACLE COLOMBIA SE SUMERGE

Ayer tenia que haber escrito este post solo que colgué pensando en la inmortalidad del cangrejo pero bueno empezamos ayer me tope con una vulnerabilidad en la pagina de la POLICIA NACIONAL COLOMBIA donde logre tener acceso a toda la base de datos de ORACLE un pequeño error de aplicación donde simplemente me daba acceso a todo los datos sin pedir contraseña ni usuario y aun mucho mas me permitía crear un usuario para la coneccion a ella  en si primero me puse a pensar pero que carajos es todo esto luego de ello procedí a escarbar y escarbar hasta encontrar información sobre datos de acceso para proceder con lo habitual acceder, subir la SHELPHP, etc,etc pero dentro de esta base de datos basada en ORACLE no solo obtuve acceso si no que dentro de ella se encontraba información sobre gastos, armas , catastros sobre acentamientos militares, policiales, etc

Proof Concept Image 0day Oracle Policia Colombia.

Luego de buscar en las tres bases de datos saque la información de acceso para el panel de control luego de tanta información logre con los logins:

Proof Concept Image 0day Oracle Policia Colombia.

Bueno lo que viene después es otra historia tras checar esta vulnerabilidad decidí escanear otros servicios con la misma grieta y la mayoría pertenecían a sitios de gobiernos de Colombia entre otros gobiernos y sitios de gran prestigio  buscando y buscando algo bueno me encontré con cientos de sitios con esta vulnerabilidad que las que se destacan: 

Proof Concept Image 0day Oracle Banco De La Republica Colombia.

Proof Concept Image 0day Oracle Super Intendencia Financiera Colombia.

Proof Concept Image 0day Oracle Departamento Nacional De Estadistica Colombia.

Y así entre otros sitios mas donde permiten acceder a la base de datos sin ningún restricción y poder buscar información de acceso para logins el 0day en esta aplicación en ORACLE la publicare en PacketStorm.

Exploit => Oracle

Fuente: Orion Uroborox.