Sicherheitsleck im Application Server von Oracle

Werbung ist mit Vorsicht zu genießen -- im wahrsten Sinne des Wortes. "Oracle9i: The Unbreakable database" postuliert Oracle auf seiner Webseite. Nun hat die weiße Werbe-Weste den ersten Fleck bekommen: Im PL/SQL-Modul des Application Servers lässt sich ein Pufferüberlauf dazu ausnutzen, beliebigen Code auf dem Zielrechner auszuführen.

Wie die Sicherheits-Website Securityfocus berichtet, kann das Anfordern einer überlangen Hilfe-Seite in besagtem Modul des auf einem Apache-Server aufsetzenden Systems dazu führen, dass Stack-Variablen überschrieben werden. Dadurch habe ein potenzieller Angreifer die Möglichkeit, beliebigen Programmcode in das System einzuschleusen. Unter den Windows-Betriebssystemen NT und 2000 würde solcher Code sogar mit System-Privilegien laufen (da auch das PL/SQL-Modul mit dieser Priorität läuft); unter anderen Betriebssystemen bekomme der Angreifer möglicherweise lokale Zugriffsrechte.

Normalerweise sind Zugriffe auf ein solches Oracle-System mit einem Passwort gesichert -- dies wird aber nicht abgefragt, wenn man versucht, auf Hilfe-Seiten zuzugreifen. Bislang sei noch kein Fall aufgetreten, in dem das Sicherheitsloch ausgenutzt worden wäre. Oracle jedenfalls hat schnell reagiert und einen Patch (Nr. 2128936) bereitgestellt, der das Loch stopfen soll.

Des weiteren besteht laut Security-Focus durch einen anderen Bug unter Windows NT/2000 die Gefahr, dass Angreifer über spezielle URLS mit "../" (Directory Traversal) Zugriff auf beliebige Seiten erlangen, die ein Browser darstellen kann. (pmo/ct) / (em)