S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 novembre 2007
N° CERTA-2007-ALE-016
Affaire suivie par: CERT-FR

Bulletin d'alerte du CERT-FR

Objet: Vulnérabilité d'Oracle 10g

Gestion du document

Référence CERTA-2007-ALE-016
Titre Vulnérabilité d'Oracle 10g
Date de la première version16 novembre 2007
Date de la dernière version16 novembre 2007
Source(s) Bulletin de sécurité iDefense du 07 novembre 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

Oracle version 10g R2.

Résumé

Une vulnérabilité d'Oracle 10g permet à une personne distante d'exécuter du code arbitraire.

Description

Une vulnérabilité a été découverte dans la version 10g R2 de la base de données Oracle. Cette vulnérabilité est due à un débordement de mémoire au niveau de la procédure XDB_PITRIG_PKG.PITRIG_DROPMETADATA, via une très grande taille des arguments OWNER et NAME.

L'exploitation de cette vulnérabilité conduit à l'exécution de code arbitraire à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 novembre 2007
    version initiale.