Habíamos mencionado en este blog sobre las actualizaciones que liberó Oracle el Jueves 21 de Abril, parchando 73 vulnerabilidades; ... ... ... que por supuesto ya actualizaste verdad??? O_o
Bueno, entonces veamos dos vulnerabilidades críticas (son las que mas nos gustan =), la primera afecta a la versión Oracle Enterprise Manager 11g Release 1 y permite ejecutar sentencias sql remotamente (SQL Injection), para las inyecciones se pueden utilizar cualquiera de estos dos parámentros no saneados, serviceType o targetType que se encuentran en /em/console/target/svclvl/sldetails y /em/console/target/svclvl/slrule respectivamente, estas son páginas webs de Oracle Enterprise Manager, las sentencias se ejecutarán con privilegios elevados del usuario SYSMAN
TeamSHATTER informó sobre esto al vendedor el 07/11/2008!!! y recién fue parchado en Abril de este año, se tomaron su tiempo los muchachos de Oracle ~( 8 (|)
La segunda vulnerabilidad crítica (y también encontrada por Esteban Fayo) afecta a Oracle Database Server version 10gR1, 10gR2, 11gR1 and 11gR2 (plataformas Windows) y puede causar la caída del servicio (DoS), consiste en el envío de un paquete de red especialmente manipulado a una BBDD Oracle durante la conección antes que la autenticacion del usuario se haya realizado, este paquete posibilita que Oracle consuma todos los recursos disponibles del CPU.
Según el advisory, para llevar a cabo el ataque no es necesario ningún tipo de autenticación y el atacante solo debería conocer previamente el SID de la base de datos. Esta vez, Oracle soluciono más rápido (solo le tomo un poco menos de un año =)
Para mas información ...
http://seclists.org/fulldisclosure/2011/May/45
http://seclists.org/fulldisclosure/2011/May/46
http://evidenciasecurity.blogspot.com/2011/04/oracle-lanza-cpu-la-semana-q-viene-o.html
http://www.oracle.com/technetwork/topics/security/cpuapr2011-301950.html
No hay comentarios:
Publicar un comentario