Avis du CERT-FR
Objet : Vulnérabilité d'Oracle
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Dans le cas de windows nt ou 2000, ces privilèges sont ceux de local_system
- Exécution de code arbitraire sur le serveur avec les privilèges du compte utilisé par le processus, permettant aussi la modification de la base de données oracle
Systèmes affectés
Oracle 8i.
Résumé
Une vulnérabilité de TNS listener permet de compromettre à distance une base de données Oracle sans authentification préalable.
Description
TNS (Transparent Network Substate) Listener est un élément de l'interface réseau des base de données Oracle 8i.
Une vulnérabilité de TNS Listener permet à un utilisateur mal intentionné d'obtenir, par le biais d'un débordement de mémoire, les privilèges de l'administrateur de la base de données sans authentification préalable.
Solution
Installer la version d'Oracle 9i qui ne présente pas cette vulnérabilité.
Un numéro à été donné à cette vulnérabilité : 1489683 et Oracle met au point un correctif pour les versions 8.1.7, 8.1.6 et 8.0.6 qui sera disponible à l'adresse suivante :
http://metalink.oracle.com
Documentation
-
L'avis de sécurité de Oracle :
http://otn.oracle.com/deploy/security/pdf/nai_net8_bof.pdf -
Le bulletin de sécurité du CERT/CC :
http://www.cert.org/advisories/CA-2001-16.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 05 juillet 2001 | version initiale. |