Avis du CERT-FR

Json

Objet : Vulnérabilité dans la gestion des mots de passe sous Oracle Entreprise Manager Web site

Gestion du document

Référence	CERTA-2002-AVI-183
Titre	Vulnérabilité dans la gestion des mots de passe sous Oracle Entreprise Manager Web site
Date de la première version	22 août 2002
Date de la dernière version	22 août 2002
Source(s)	Bulletin de sécurité Oracle #39

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Compromission de mots de passe

Systèmes affectés

Oracle Entreprise Manager Web Site dans Oracle 9i Application Server 9.0.2 sous Linux et Unix.

Résumé

Une vulnérabilité a été découverte dans le gestion des mots de passe sous Oracle Entreprise Manager Web Site d'Oracle 9iAS.

Description

Oracle Entreprise Manager Web Site est une interface Web d'administration à distance fourni dans Oracle 9iAS. Le module Web Cache d'Oracle permet de mettre en cache les rêquetes les plus fréquentes sur la base de données.

Un utilisateur mal intentionné peut avoir accès en local au mot de passe d'administration du module Web Cache.

Contournement provisoire

Il est conseillé de forcer le chiffrement du mot de passe dans le fichier de configuration targets.xml :

Editer le fichier $ORACLE_HOME/sysman/emd/targets.xml.
Remplacer toutes les lignes de type :

<Property NAME="authpwd" VALUE="administrator"/> par <Property NAME="authpwd" VALUE="administrator" ENCRYPTED="FALSE" />

Note : FALSE est en lettres majuscules.
Redémarrer Oracle Enterprise Manager Web site ou exécuter emctl reload sur la ligne de commande.

Note : Le redémarrage change la ligne précédemment saisie dans targets.xml par <Property NAME="authpwd" VALUE="xxx" ENCRYPTED="TRUE" />.

Documentation

Bulletin de sécurité Oracle #39
http://otn.oracle.com/deploy/security/pdf/2002alert39rev1.pdf

Gestion détaillée du document

Date	Description
22 août 2002	version initiale.