CERT-FI haavoittuvuustiedote 076/2012

27.4.2012

Haavoittuvuus Oraclen Database Server -ohjelmistossa


Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - luottamuksellisen tiedon hankkiminen - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen	Lisätietoja

Oraclen tietokantatuotteissa olevasta TNS Listener -palvelusta on löytynyt man-in-the-middle tyyppisen hyökkäyksen mahdollistava haavoittuvuus. Haavoittuvuutta hyödyntäen hyökkääjä on mahdollista seurata käyttäjän ja tietokannan välistä tietoliikennettä. Hyökkääjän on myös mahdollista kaapata yhteys itselleen ja lähettää komentoja sekä tehdä omia tietokantakyselyitä tietokantaan kirjautuneen käyttäjän oikeuksilla.

HAAVOITTUVAT OHJELMISTOT:

Kaikki tuetut Oracle Database Server -ohjelmistoversiot

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuuteen ei ole julkaistu korjausta. Haavoittuvuuteen on kuitenkin olemassa rajoitusmenetelmä. Erilaisia menetelmiä on kuvattu threatpostin artikkelissa osoitteessa: https://threatpost.com/en_us/blogs/critical-bug-reported-oracle-servers-042612

Päivitys 2.5.2012

Oracle on julkaissut tietoturvatiedotteen, missä annetaan tarkempia tietoja TNS Listener Poison Attack haavoittuvuudesta ja neuvoja ylläpitäjille kuinka uhka voidaan ehkäistä. Oracle kehoittaa tekemään hyökkäyksen estävät konfiguraatiomuutokset mahdollisimman nopeasti. Haavoittuvuuden CVE-tunniste on CVE-2012-1675. Oraclen tiedote on luettavissa osoitteessa http://www.oracle.com/technetwork/topics/security/alert-cve-2012-1675-1608180.html.

Oracle on myös julkaissut blogikirjoituksen haavoittuvuudesta, missä kerrotaan haavoittuvuuden taustoista. Blogikirjoitus löytyy osoitteesta https://blogs.oracle.com/security/entry/security_alert_for_cve_2012.

LISÄTIETOA:

PÄIVITYSHISTORIA:

27.4.2012, kello 16.11: Julkaistu
2.5.2012, kello 10.52: Päivitetty

Sivua päivitetty 02.05.2012

Tulostusversio