int(1239)

Boletines de Vulnerabilidades


Ejecución remota de código en Oracle mediante extproc

Clasificación de la vulnerabilidad

Propiedad Valor
Nivel de Confianza Oficial
Impacto Obtener acceso
Dificultad Principiante
Requerimientos del atacante Acceso remoto con cuenta

Información sobre el sistema

Propiedad Valor
Fabricant afectat Comercial Software
Software afectado Oracle 9i
Oracle 10g

Descripción

Se ha encontrado una vulnerabilidad en el servidor de bases de datos Oracle, que permite a los usuarios ejecutar comandos en el servidor con los privilegios del usuario Oracle.

El fallo se debe a un bug de directorio transversal en "extproc", que puede ser explotado para acceder a cualquier librería del sistema, y desde ahí llamar a la función system() para ejecutar cualquier comando.

Solución



Actualización de software

Oracle
Instale el parche #68
http://metalink.oracle.com

Identificadores estándar

Propiedad Valor
CVE
BID

Recursos adicionales

Bugtraq Archive - Oracle extproc local command execution
http://www.securityfocus.com/archive/1/385325

NGSSoftware - Multiple High Risk Vulnerabilities in Oracle 8i, 9i and 10g
http://www.nextgenss.com/advisories/oracle-01.txt

Histórico de versiones

Versión Comentario Data
1.0 Aviso emitido. 2004-12-24
Ministerio de Defensa
CNI
CCN
CCN-CERT