[Resolvido] Oracle libera correção não programada para vulnerabil

RSS iMasters · Agosto 15, 2012

Durante a conferência Black Hat, que aconteceu em Las Vegas, o especialista em segurança David Litchfield revelou um zero day exploit no servidor de banco de dados da Oracle. A empresa agora corrigiu essa vulnerabilidade com um pacote não programado. As versões 10.2.0.3, 10.2.0.4, 10.2.0.5, 11.1.0.7, 11.2.0.2 e 11.2.0.3 do servidor são afetadas, mas um pacote de atualizações, liberado em julho, trouxe uma correção para as duas últimas.

O bug permite que atacantes obtenham privilégios do usuário SYSDBA. Para fazerem isso, eles requerem um nome de usuário, senha, privilégios CREATE TABLE e CREATE PROCEDURE, e privilégios EXECUTE para o pacote DBMS_STATS. O pacote Oracle Text também precisa ser instalado.

A Oracle aconselha os usuários a instalarem o pacote o mais rápido possível, já que exploits da vulnerabilidade já estão disponíveis publicamente. De acordo com a empresa, o bug também pode estar presente em versões antigas do servidor e que não são mais suportadas; a Oracle não vai liberar uma correção para essas versões.

A Oracle descreve o bug, que foi catalogado como CVE-2012-3132, apenas em termos gerais. Mais detalhes podem ser encontrados em um post de Alex Rothacker do Team Shatter.

Ele aconselha que administradores devem apenas designar os privilégios CREATE TABLE, CREATE PROCEDURE e EXECUTE para DBMS_STATS e CTXSYS.CTX_DDL para usuários que realmente precisem deles. Além disso, todas as chamadas para CREATE INDEX com INDEXTYPE CTXSYS.CONTEXT e DBMS_STATS.GATHER_TABLE_STATS devem ser monitoradas. Índices para colunas que incluem || or ||' no nome da coluna podem indicar um potencial ataque.

Desde a versão 9i, esse tipo de índice tem sido usado no pacote Oracle Text para indexar grandes documentos, que também podem ser armazenados e formatos binários, como PDF e DOC. A rotina GATHER_TABLE_STATS no pacote DBMS_STATS pode ser usada para obter informações sobre uma tabela e seus índices.

Com informações de The H

http://imasters.com.br/noticia/25324/oracle/oracle-libera-correcao-nao-programada-para-vulnerabilidade-critica