CERT-FI haavoittuvuustiedote 060/2004

2.9.2004

Haavoittuvuuksia Oracle-ohjelmistoissa


Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Useissa Oracle-tietokantaohjelmistoissa on havaittu haavoittuvuuksia. Vakavimmillaan haavoittuvuudet mahdollistavat hyökkääjän oman koodin suorittamisen kohdetietojärjestelmässä. Erityisesti Database Server ja Application Server -tuotteiden osalta riski on suuri: haavoittuvuuden hyväksikäyttö ei edellytä käyttäjätunnustietoja kohdetietojärjestelmässä. Oracle on luokitellut Database Server- ja Application Server -ohjelmistojen haavoittuvuudet "High" -kriittisyysluokkaan.

Haavoittuvuudet löytänyt taho on 23.12. julkaissut haavoittuvuuksista yksityiskohtaisempia tietoja. CERT-FI suosittelee vielä päivittämättömien Oracle-tietokantaohjelmistojen välitöntä päivittämistä.

HAAVOITTUVAT OHJELMISTOT:

Oracle Database 10g Release 1, versio 10.1.0.2
Oracle9i Database Server Release 2, versiot 9.2.0.4 ja 9.2.0.5
Oracle9i Database Server Release 1, versiot 9.0.1.4, 9.0.1.5 ja 9.0.4
Oracle8i Database Server Release 3, versio 8.1.7.4
Oracle Enterprise Manager Grid Control 10g, versio 10.1.0.2
Oracle Enterprise Manager Database Control 10g, versio 10.1.0.2
Oracle Application Server 10g (9.0.4), versiot 9.0.4.0 ja 9.0.4.1
Oracle9i Application Server Release 2, versiot 9.0.2.3 ja 9.0.3.1
Oracle9i Application Server Release 1, versio 1.0.2.2

Seuraavat Oracle-ohjelmistoversiot eivät ole haavoittuvia:

Oracle Database 10g Release 1, versio 10.1.0.3
Oracle Enterprise Manager Grid Control 10g, versio 10.1.0.3 (ei vielä saatavilla)
Oracle Application Server 10g (9.0.4), version 9.0.4.2 (ei vielä saatavilla)