Vulnérabilités

Une nouvelle faille pour Oracle.

Par Jerome Saiz, le 01 mai 2003 à 15:51:00.

Les bases de données Oracle sont vulnérables à un nouveau dépassement de mémoire tampon. L'attaque n'est exploitable à distance que si la base de données est directement accessible depuis Internet. Elle demeure en revanche possible depuis le réseau local. Son exploitation exige de posséder un compte sur la base, mais offre alors le contrôle complet du serveur.

Ce nouveau dépassement de mémoire tampon concerne les versions 7, 8, 8i et 9i de la base de données "Incassable"(©) d'Oracle.
Il n'est exploitable que par un utilisateur qui posséderait déjà un compte sur la base et y aurait accès directement. L'attaque est donc peu probable depuis l'anonymat d'Internet, mais tout à fait possible depuis le réseau local.
Le pirate devra cependant aussi avoir les droits CREATE DATABASE LINK, ce qui réduit plus encore la voilure de cette vulnérabilité.
Une fois exploitée cependant, cette faille permet d'exécuter n'importe quel code sur le serveur qui héberge la base de données. Considérant les utilisations critiques qui peuvent être faites de tels serveurs sur un réseau interne (données de paie, de comptabilité, stockage de numéros de cartes bancaires...), cela en fait des cibles appétissantes pour tout escroc interne qui se respecte.
Oracle a publié les correctifs nécessaires. Nous n'avons découvert à ce jour de programme d'attaque automatisé pour cette faille.

Plus d'information

L'alerte au format PDF.
Toutes les alertes d'Oracle, et les liens vers les correctifs.

Nouvelle faille pour Sendmail. (31 mars 2003)
Nouvelle faiblesse pour OpenSSH. (07 mars 2002)
Une nouvelle faille majeure pour Windows. (14 juil 2004)
Une nouvelle faille incroyable pour Windows XP. (20 déc 2002)
Neuf nouvelles failles pour Internet Explorer. (24 oct 2002)

Cartes blanches

IAM : dépenser moins pour gagner plus Bruno Vincent Une phrase d'Eric Domage, d'IDC, interpelait récemment décideurs et acteurs du marché sur l'importance des coûts et le peu de ROI découlant des projets d'IAM. Bruno Vincent nuance voire réfute en partie, ces propos.	Organisation et sécurité: en finir avec le cloisonnement ! Bruno Vincent DSI,RSSI et Métiers ont encore du mal à collaborer efficacement. Pourtant, l'organisation s'avère être, une fois de plus, la pierre angulaire d'un Système d'Information sûr et aux coûts maîtrisés.
Les RSSI du monde bancaire à l'aube d'une vague de démissions ? Monsieur RSSI Rien ne semble changer en matière de risques et sécurité dans le monde bancaire. Constat désabusé et inquiet d'un RSSI du secteur.	Rififi en vue chez les identités Bruno Vincent Alors qu'OpenID attise l'intérêt des géants de l'informatique, l'acquisition de Credentica par Microsoft laisse augurer d'une possible guerre des « standards » en matière de gestion des identités sur le Web.
>> Plus de Cartes Blanches