由于担心甲骨文没有修复的多个安全漏洞会造成危害
一位安全研究人员公开了六个安全漏洞(其中有三个高风险漏洞)并且提供了绕过这些安全漏洞的方法
RedDatabaseSecurity GmbH公司的一位安全研究人员Alexander Kornbrust称在他公开这些安全漏洞的细节之前他曾试图公平地与甲骨文打交道但是多天(天至天之间)的等待应该足够了特别是对于一家大公司来说他补充说他在三个月前还曾通知甲骨文说如果甲骨文在月份的安全补丁中不修复这些安全漏洞他将公开宣布这些安全漏洞Kornbrust还向甲骨文提供了额外的时间修复这些安全漏洞如果甲骨文需要延长时间的话但是甲骨文从来没有要求额外的时间
Kornbrust的情况并不是孤立的业内普遍都知道包括NGSSoftware软件公司的David Litchfield在内的许多安全人员都曾向甲骨文报告过安全问题而甲骨文一直都没有解决许多报告的安全问题都有一年多时间了
有些人认为甲骨文和RedDatabaseSecurity公司之间存在沟通问题Kornbrust说存在沟通问题是可能的但是为什么David Litchfield报告的高危等级的安全漏洞和个中等的安全漏洞在将近一年的时间里都没有修复呢?甲骨文下一次发布安全补丁的时间是在年月份那些漏洞的报告时间超过一年了我听说iDefense和AppSecInc等公司也对缓慢的安全漏洞处理过程提出了同样的抱怨
Kornbrust表示最严重的一个安全漏洞能够通过Oracle Reports中的desname程序覆盖任何文件这个安全漏洞影响Oracle Reportsii和g版本Oracle Reports是甲骨文应用服务器软件中的一个组件用于电子商务套装软件中大多数大型企业都使用这个软件作为企业应用的报告工具他说通过修改一个URL黑客能够摧毁在网络上的甲骨文应用服务器通过Google Hacking可以查找到安全漏洞报告服务器黑客在几分钟之内就可以摧毁几台应用服务器他还指出两个允许操作系统执行命令的安全漏洞也特别严重Oracle Forms Services中存在一个高危等级的安全漏洞这个软件是甲骨文应用服务器软件的一个组件用于甲骨文电子商务套装软件和许多企业应用程序中Kornbrust说这个安全漏洞能够让操作系统执行命令
这个安全漏洞影响甲骨文Oracle (Web) Forms ii和g版
Oracle Forms Services可以从任何目录和任何在应用服务器中的用户那里启动可执行的表格(*fmx)文件Kornbrust在安全公告中称这些表格可以作为甲骨文用户和系统(Windows)用户执行攻击者向应用服务器上载一个精心制作的可执行表格文件就可以执行任何操作系统命令并且接管应用服务器的控制权文件上载可通过WebdavSMBWebutilSAMBANFS和FTP等多种途径通过使用这种表格或者具有绝对路径的模块参数攻击者就可以从任何目录和任何用户那里执行那些可执行的表格文件
还有一个高风险安全漏洞能够让攻击者通过未经授权的Oracle Reports软件运行任何操作系统命令这个安全漏洞影响Oracle Reports ii和g版
这个安全公告称:Oracle Reports能够从应用服务器中的任何目录和任何用户那里启动可执行的报告文件(*rep 或者 *rdf文件)这些报告可作为甲骨文用户或者系统(Windows)用户执行攻击者向应用服务器上载精心制作的报告文件就可以执行任何系统命令或者读写应用服务器中的文件(如包含甲骨文口令的wdbsvrapp文件)通过使用这种具有绝对路径的报告参数攻击者就可以从任何目录和任何用户那里执行那些可执行的报告文件
其它安全漏洞不太严重包括两个中等风险的信息暴露安全漏洞一个desformat安全漏洞和另一个在个性化参数中的漏洞其余的低风险的交叉站点脚本影响Oracle Reports软件
Korbrust建议说用户应该认真阅读这些安全公告设法理解这些问题并且首先在自己的测试系统中采取绕过这些漏洞的措施如果通过测试他们应该在生产系统中采取这些绕过漏洞的措施
Kornbrust做结论说用户应该质问甲骨文为什么它要用这样长的时间修复这些安全漏洞是甲骨文的安全团队太小不能处理所有这些问题吗?
