日前美国Network Associates、美国CERT/CC及美国Oracle发出警告说，数据库软件“Oracle8i”存在有安全漏洞。如果这一安全漏洞被恶意使用的话就可能面临如下危险：通过远程操作在数据库服务器上执行任意代码并可以夺取服务器的控制权。美国Oracle公司已经公布了有关补丁程序，服务器管理员必须尽快使用。
出现安全漏洞的原因是Oracle8i的TNS (Transparent Network Substrate) Listener 注）使用了未经检查的缓冲器。因此，一旦发送某种请求就存在引起缓冲器溢出或执行任意代码的危险。此时，这种代码就可能以TNS Listener的权限执行。由于缓冲器溢出发生在用户认证之前，因此攻击者并不需要输入用户ID和口令。
TNS Listener的执行权限因平台不同而不同，因此安全漏洞带来的影响也不尽相同。在UNIX系统下，攻击者的代码能在“Oracle”用户的权限下执行。在Windows系统下，能在“Local System”的安全环境（Context）下执行。不管在哪种系统下攻击者都有可能夺取数据库的控制权，但在Windows系统下情况有可能更为严重。因为攻击者还可能夺得OS管理员的权限。
美国Oracle公布的补丁程序可以通过该公司的支持服务Web站点“Metalink”（http://metalink.oracle.com）下载。补丁的序号为“1489683”。
注:所谓的TNS Listener指的是响应客户的请求、确立连接的配置程序。缺省状态下通过TCP端口1521号等待请求。
|
本类阅读TOP10