Érintett rendszerek
Application ServerCollaboration Suite
Database
E-Business Suite
Oracle
PeopleSoft
PeopleSoft Enterprise PeopleTools
Érintett verziók
Oracle Collaboration Suite 10.1.2
Oracle Application Server 9.0.4.3, 10.1.2.0.2, 10.1.2.1.0, 10.1.2.2.0
Oracle E-Business Suite 10.1.3.0.0, 10.1.3.1.0, 10.1.3.3.0
Oracle Database 9.2.0.8, 9.2.0.8DV, 10.1.0.5, 10.2.0.2, 10.2.0.3, 11.1.0.6
PeopleSoft Enterprise PeopleTools 8.22, 8.48, 8.49
Oracle Application Server 10.1.3.0.0, 10.1.3.1.0, 10.1.3.3.0
Összefoglaló
Az Oracle termékek több sebezhetőségét jelentették. Néhánynak ismeretlen következményei vannak, míg a többit rosszindulatú felhasználók kihasználhatják biztonsági előírások megkerülésére, SQL befecskendezéses támadásra, szolgáltatás megtagadás koozására vagy egy érintett rendszer feltörésére.
Leírás
Az Oracle termékek több sebezhetőségét jelentették. Néhánynak ismeretlen következményei vannak, míg a többit rosszindulatú felhasználók kihasználhatják biztonsági előírások megkerülésére, SQL befecskendezéses támadásra, szolgáltatás megtagadás koozására vagy egy érintett rendszer feltörésére.
- Két határhiba létezik az XDB.XDB_PITRIG_PKG.PITRIG_TRUNCATE és XDB.XDB_PITRIG_PKG.PITRIG_DROP eljárásokban. Ezt kihasználva puffer túlcsordulást lehet okozni túl hosszú paraméterek átadásával az érintett eljárásoknak.
- Az első paraméteren keresztül az XDB.XDB_PITRIG_PKG.PITRIG_TRUNCATE és XDB.XDB_PITRIG_PKG.PITRIG_DROP eljárásoknak átadott bemenet nincs megfelelően kezelve, mielőtt SQL lekérdezésekben használnák. Ez kihasználható SQL lekérdezések módosítására tetszőleges kód befecskendezéssel.
-
Az Ultra-Search modul megvalósításában lévő hibát kihasználva megkerülhetők bizonyos biztonsági korlátozások. Ennek oka, hogy a WKSYS felhasználói fiók és adatbázis séma szükségtelenül magas jogosultsággal rendelkezik.
A sérülékenység kihasználásához WKSYS hozzáférés szükséges.
A többi sebezhetőségről nem áll rendelkezésre több információ.
Megoldás
Telepítse a javítócsomagokatTámadás típusa
Input manipulation (Bemenet módosítás)Misconfiguration (Konfiguráció)
Unknown (Ismeretlen)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 28518
Gyártói referencia: www.oracle.com