Risques
- Compromission de données
- Contournement des mécanismes d'authentification
- Déni de service
- Élévation de privilèges
Systèmes affectés
Oracle9iAS version 1.0.2.x
Résumé
De multiples vulnérabilités présentes dans Oracle9iAS permettent à un utilisateur mal intentionné de réaliser une élèvation de privilèges, d'accéder à des données non autorisées, de réaliser un déni de service et de contourner les paramètres d'authentification.
Vulnérabilités dans le module mod_plsql
4.1 Description
Le module mod_plsql v3.0.9.8.2 est une passerelle PL/SQL utilisée pour interfacer des applications web avec le langage PL/SQL, ce module présente plusieurs vulnérabilités :
- Une vulnérabilité de type « débordement de mémoire » permet à un utilisateur mal intentionné d'utiliser Oracle9iAS pour récupérer les droits du compte système sur les plateformes Microsoft.
- En utilisant certaines requêtes HTTP, un utilisateur mal intentionné peut provoquer un déni de service du module mod_plsql ou accèder à des fichiers du compte système.
- En utilisant les pages web pour la configuration de la passerelle mod_plsql, un utilisateur mal intentionné peut contourner l'authentification en utilisant les mots de passe par défaut pour administrer les points d'accès aux bases de données.
4.2 Contournement provisoire
Pour supprimer ces vulnérabilités il est nécessaire de :
- changer le chemin d'accès et configurer le fichier wdbsvr.app.
- d'appliquer le correctif approprié à la plateforme (voir Bulletin de sécurité #28 d'Oracle).
Vulnérabilité dans les modules OracleJSP and SQLJSP
5.1 Description
Le module OracleJSP/SQLJSP permet de faire intéragir une base de données Oracle avec des applications web.
Lors d'une requête JSP sur un serveur OracleJSP, la page envoyée par l'utilisateur est traduite, compilée et exécutée. Trois fichiers intermédiaires contenant des informations de la base de données sont alors créés. Un utilisateur mal intentionné peut déduire l'emplacement et le nom de ces fichiers et récupérer des informations sensibles du système Oracle.
5.2 Contournement provisoire
Pour contourner cette vulnérabilité, il est nécessaire de modifier le fichier httpd.conf du module OracleJSP.
Vulnérabilités dans le module XSQL 1.0.x
6.1 Description
Oracle XSQL est une application qui permet d'intégrer les données résultant de requêtes SQL dans un document XML. Les vulnérabilités dans le module XSQL 1.0.x permettent à un utilisateur mal intentionné :
- d'exécuter un code arbitraire par le biais d'une vulnérabilité dans la requête HTTP.
- d'accéder à des informations sensibles du système Oracle en utilisant les applications XSQL.
- d'accéder au système via un exemple installé par défaut lors de l'installation d'Oracle.
6.2 Contournement provisoire
Pour supprimer ces vulnérabilités, il est conseillé (comme pour toutes les applications) de supprimer les exemples installés lors de l'installation. Il est également conseillé de déplacer le fichier XSQLConfig.xml dans un répertoire protégé.
Vulnérabilité dans le module EXTPROC
7.1 Description
Le module « External Procedure » (EXTPROC) permet l'appel de fonctionnalités du système d'exploitation.
Une vulnérabilité présente dans ce module permet à un utilisateur mal intentionné d'exécuter des commandes avec des privilèges administrateur.
7.2 Contournement provisoire
Si le module EXTPROC n'est pas nécessaire, il est recommandé de supprimer ce module.
Si ce module est nécessaire il est alors recommandé de créer deux processus « LISTENER », l' un étant utilisé par la base de données Oracle et l'autre par le module EXTPROC. La configuration de ces deux processus est détaillée dans le bulletin de sécurité #29 d'Oracle (voir Documentation).
Documentation
- Avis de sécurité #28 de Oracle Avis de sécurité #29 de Oracle http://technet.oracle.com/deploy/security/pdf/plsextproc_alert.pdf http://technet.oracle.com/deploy/security/pdf/ias_modplsql_alert.pdf
