CERT-FI haavoittuvuustiedote 009/2006

26.1.2006

Haavoittuvuus Oracle-ohjelmistoissa


Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Oracle PL/SQL (Procedural Language/Structured Query Language) Gateway -komponentti tarjoaa tuen PL/SQL-pohjaisille sovelluksille www-ympäristöissä. PL/SQL Gateway -komponentista on löydetty haavoittuvuus.

Haavoittuvuus liittyy PL/SQL Gateway -komponentin tapaan käsitellä tietyllä tavalla muokattuja HTTP-pyyntöjä. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista saada pääkäyttäjän oikeudet taustalla olevaan Oracle tietokantapalvelimeen www-palvelimella olevan PL/SQL Gateway -komponentin kautta.

HAAVOITTUVAT OHJELMISTOT:

Oracle Oracle9i/10g Application Server
Oracle Internet Application Server
Oracle HTTP Server

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuuteen ei ole tällä hetkellä saatavilla korjausta valmistajalta.

Haavoittuvuuden hyväksikäyttöä voidaan kuitenkin rajoittaa lisäämällä $ORACLE_HOME/Apache/Apache/conf -hakemistosta löytyvään http.conf-tiedostoon seuraavat rivit:

RewriteEngine on
RewriteCond %{QUERY_STRING} ^.*\).*|.*%29.*$
RewriteRule ^.*$ http://palvelin/denied.htm?attempted-attack
RewriteRule ^.*\).*|.*%29.*$ http://palvelin/denied.htm?attempted-attack

Konfiguraatiomuutoksen jälkeen palvelin on käynnistettävä uudelleen.

LISÄTIETOA:

http://www.securityfocus.com/bid/16384

http://www.securityfocus.com/archive/1/423029

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0435

PÄIVITYSHISTORIA:

26.01.2006: Julkaistu

Sivua päivitetty 11.03.2007

Tulostusversio