Библиотека Интернет Индустрии I2R.ru

В Oracle Application Server найдено более 20 уязвимостей перед атаками через интернет

17.03.2002 11:15

Computer Emergency Respond Tema (CERT) предупреждает об обнаружении порядка 20 уязвимостей в серверах баз данных Oracle.

Слабые места, найденные Дэвидом Литчфилдом из компании NGSSoftware, включают в себе ошибки при переполнении буфера, опасные установки по умолчанию в конфигурации, ошибки при подтверждении ввода данных. Используя эти дыры, можно выполнять программный код или команды, получать неавторизированный доступ к информации, создавать в системе ситуацию отказа в доступе.

Большая часть выявленных дыр связана с переполнением буфера в модуле PL/SQL, который обрабатывает HTTP-запросы. В CERT говорят, что значительная часть его установок по умолчанию небезопасна, а некоторые компоненты неправильно реализуют права доступа. Две ошибки переполнения буфера существуют в коде, который обрабатывает конфигурационные параметры, задающиеся через http-интерфейс. К тому же администрирование PL/SQL через веб по умолчанию разрешено.

Опасность также исходит со стороны веб-сервера, основанного на Apache HTTP Server. В Windows-системах он по умолчанию имеет свойства "системного" пользователя, что при атаке даст злоумышленнику полный контроль над системой.

В основном найденные уязвимости относятся к Oracle9i Application Server, но опасности подвержены и другие продукты Oracle, использующие уязвимые версии PL/SQL модуля. Это Oracle 9i Database и Oracle 8i Database.

Компания Oracle уже выпустила патчи и инструкции для устранения некоторые из этих уязвимостей. Они могут быть найдены в Oracle Security Alert #28, Oracle Security Alert #25 и на сайте технической поддержки Oracle MetaLink (только для зарегистрированных пользователей).

• Перейти в форум