Boletines de Vulnerabilidades

int(1239)

Ejecución remota de código en Oracle mediante extproc
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Obtener acceso
Dificultad	Principiante
Requerimientos del atacante	Acceso remoto con cuenta
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	Comercial Software
Software afectado	Oracle 9i Oracle 10g
Descripción
Se ha encontrado una vulnerabilidad en el servidor de bases de datos Oracle, que permite a los usuarios ejecutar comandos en el servidor con los privilegios del usuario Oracle. El fallo se debe a un bug de directorio transversal en "extproc", que puede ser explotado para acceder a cualquier librería del sistema, y desde ahí llamar a la función system() para ejecutar cualquier comando.
Solución
Actualización de software Oracle Instale el parche #68 http://metalink.oracle.com
Identificadores estándar
Propiedad	Valor
CVE
BID
Recursos adicionales
Bugtraq Archive - Oracle extproc local command execution http://www.securityfocus.com/archive/1/385325 NGSSoftware - Multiple High Risk Vulnerabilities in Oracle 8i, 9i and 10g http://www.nextgenss.com/advisories/oracle-01.txt