Összefoglaló
Több sérülékenységet találtak az Oracle adatbázis kezelőben, amiket
kihasználva, bizalmas információkat lehet szerezni, szolgáltatás megtagadást
lehet előidézni, módosítani lehet bizonyos adatokat, vagy akár fel lehet törni
a sérülékeny rendszert.
Leírás
Több sérülékenységet találtak az Oracle adatbázis kezelőben, amiket
kihasználva, bizalmas információkat lehet szerezni, szolgáltatás megtagadást
lehet előidézni, módosítani lehet bizonyos adatokat, vagy akár fel lehet törni
a sérülékeny rendszert.
- A Windows alatt futó Core RDBMS egy hibáját kihasználva tetszőleges kódot lehet lefuttatni.
- A Network Authentication komponens két hibáját kihasználva tetszőleges kódot lehet lefuttatni.
-
A Data Mining komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához SYS.DMP_SYS futtatási jogosultság szükséges. -
Az Oracle Spatial komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához MDSYS.PRVT_CMT_CBK futtatási jogosultság szükséges. -
A PL/SQ komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához „Create Procedure” jogosultság szükséges. -
Az Application Express komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához FLOWS_030000.WWV_EXECUTE_IMMEDIATE futtatási jogosultság szükséges. -
A Workspace Manager komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához SYS.LTRIC (WMSYS.LTRIC) futtatási jogosultság szükséges. -
A Workspace Manager komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához „Create Session” jogosultságra van szükség. - A Windows alatt futó Net Foundation Layer komponens egy hibáját kihasználva bizalmas adatokat lehet szerezni vagy módosítani.
- Az Authentication komponens két hibáját kihasználva bizalmas információkat lehet szerezni.
-
Az Advanced Queuing komponens egy hibáját kihasználva hitelesített felhasználók bizalmas adatokat szerezhetnek vagy módosíthatnak.
A hiba sikeres kihasználásához SYS.DBMS_AQ_INV futtatási jogosultság szükséges. -
Az „idx_owner” és „idx_name” paraméterekkel a „ctxsys.drvxtabc.create_tables()” függvénynek átadott értékek nincsenek megfelelően megtisztítva mielőtt SQL lekérdezésekben használnák. Ez kihasználható az SQL lekérdezések módosítására tetszőleges kód befecskendezésével.
A hiba sikeres kihasználásához CTXSYS.DRVXTABC futtatási jogosultság szükséges. -
A Data Pump komponens egy hibáját kihasználva hitelesített felhasználók manipulálhatnak bizonyos adatokat.
A hiba sikeres kihasználásához „Create Session” jogosultságra van szükség. -
Az Auditing komponens egy hibáját kihasználva hitelesített felhasználók módosíthatnak bizonyos adatokat.
A hiba sikeres kihasználásához DBMS_SYS_SQL, DBMS_SQL futtatási jogosultság szükséges
Megoldás
Telepítse a javítócsomagokatTámadás típusa
Input manipulation (Bemenet módosítás)Unknown (Ismeretlen)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
CVE-2009-1992 - NVD CVE-2009-1992
CVE-2009-1991 - NVD CVE-2009-1991
CVE-2009-1985 - NVD CVE-2009-1985
CVE-2009-1979 - NVD CVE-2009-1979
CVE-2009-1972 - NVD CVE-2009-1972
CVE-2009-1971 - NVD CVE-2009-1971
CVE-2009-1965 - NVD CVE-2009-1965
CVE-2009-1964 - NVD CVE-2009-1964
CVE-2009-1018 - NVD CVE-2009-1018
CVE-2009-1007 - NVD CVE-2009-1007
SECUNIA 37027
Gyártói referencia: www.oracle.com
CVE-2009-1993 - NVD CVE-2009-1993
CVE-2009-1994 - NVD CVE-2009-1994
CVE-2009-1997 - NVD CVE-2009-1997
CVE-2009-2000 - NVD CVE-2009-2000
CVE-2009-2001 - NVD CVE-2009-2001