Oracle 產品多個漏洞

最後更新 2011年01月28日 發佈日期: 2008年07月17日 2881 觀看次數

風險: 中度風險

Medium Risk

在不同的 Oracle 及 BEA 產品發現多個漏洞，遠端或本機攻擊者可利用漏洞進行阻斷服務、讀取或修改某些資料、洩露敏感資料、插入 SQL 程式碼攻擊、繞過保安限制或執行任意程式碼。

這些漏洞是由 Advanced Queuing、 Database Scheduler、 Advanced Replication、 Authentication、 Oracle Database Vault、 Oracle Spatial、 Data Pump、 Core RDBMS、 Instance Management、 Resource Manager、 TimesTen Client/Server、 Oracle HTTP Server、 Oracle Portal、 Oracle Internet Directory、 Hyperion BI Plus、 Mobile Application Server、 Oracle Report Manager、 Oracle iStore、 Oracle Application Object Library、 Oracle Applications Technology Stack、 PeopleSoft PeopleTools、 WebLogic Server Plugins 及 WebLogic Server components 等元件發生錯誤所引致。

1. Oracle HTTP 伺服器存在一個不明的錯誤。

2. Oracle Internet Directory 存在一個無效指示器 (NULL-pointer) 參考錯誤，透過傳送特製的 LDAP 請求到 389/TCP 連接埠或 636/TCP 連接埠，利用漏洞進行阻斷服務攻擊。

3. Oracle 數據庫中的 DBMS_AQELM 套件存在一個邊界檢查錯誤，透過傳送過長的字串作為程序參數，造成緩衝區滿溢。

成功利用漏洞可允許攻擊者執行任意程式碼

4. 在 setuid root 程式中使用不可信的函式庫路徑而產生錯誤，利用此漏洞可以取得管理員帳戶的權限。

要成功利用漏洞，攻擊者需要有能力存取數據庫擁有者的帳戶 (一般是 "oracle") 或是 oracle installation group 中的成員 (一般是 "oinstall")。

5. 傳送至套件 "WWV_RENDER_REPORT" 內的 "SHOW" 程序的輸入資料，在使用前並沒有適當淨化，透過插入某些 PLSQL 程式碼來控制 PLSQL 查詢。

成功利用漏洞可允許攻擊者透過前端網頁伺服器，取得後端 Oracle 數據庫的完整控制權。

6. 在 WebLogic 伺服器內 ForeginJMS 元件及 WebLogic console 或 server log 存在不明漏洞，利用此漏洞可以洩露敏感資料。

7. 在 WebLogic 伺服器內 Console/WLST 存在一些不明漏洞，利用此漏洞可以提高權限。

8. 在 WebLogic 伺服器中 Apache、Sun 及 IIS 網頁伺服器的 WebLogic plug-ins 存在不明漏洞，利用此漏洞可以洩露敏感資料。

9. 當處理 JSP 網頁時， WebLogic 伺服器存在不明漏洞，利用此漏洞可以洩露敏感資料。

10.在 WebLogic 伺服器內 UDDI Explorer 存在不明漏洞，利用此漏洞可以控制受影響的系統。

11. WebLogic 伺服器 存在不明漏洞，利用此漏洞可以進行阻斷服務攻擊。

其餘漏洞是由不明的錯誤所引致。現時沒有相關的資料。

影響

  • 阻斷服務
  • 權限提升
  • 遠端執行程式碼
  • 繞過保安限制

受影響之系統或技術

  • Oracle Database 11g 版本 11.1.0.6
  • Oracle Database 10g Release 2 版本 10.2.0.2
  • Oracle Database 10g Release 2 版本 10.2.0.3
  • Oracle Database 10g Release 2 版本 10.2.0.4
  • Oracle Database 10g 版本 10.1.0.5
  • Oracle Database 9i Release 2 版本 9.2.0.8
  • Oracle Database 9i Release 2 版本 9.2.0.8DV
  • Oracle TimesTen In-Memory Database 版本 7.0.3.0.0
  • Oracle Application Server 10g Release 3 (10.1.3) 版本 10.1.3.1.0
  • Oracle Application Server 10g Release 3 (10.1.3) 版本 10.1.3.3.0
  • Oracle Application Server 10g Release 2 (10.1.2) 版本 10.1.2.2.0
  • Oracle Application Server 10g Release 2 (10.1.2) 版本 10.1.2.3.0
  • Oracle Application Server 10g (9.0.4) 版本 9.0.4.3
  • Oracle Hyperion BI Plus 版本 9.2.0.3
  • Oracle Hyperion BI Plus 版本 9.2.1.0
  • Oracle Hyperion BI Plus 版本 9.3.1.0
  • Oracle Hyperion Performance Suite 版本 8.3.2.4
  • Oracle Hyperion Performance Suite 版本 8.5.0.3
  • Oracle E-Business Suite Release 12 版本 12.0.4
  • Oracle E-Business Suite Release 11i 版本 11.5.10.2
  • Oracle Enterprise Manager Database Control 11i 版本 11.1.0.6
  • Oracle Enterprise Manager Database Control 10g Release 2 版本 10.2.0.2
  • Oracle Enterprise Manager Database Control 10g Release 2 版本 10.2.0.3
  • Oracle Enterprise Manager Database Control 10g Release 2 版本 10.2.0.4
  • Oracle Enterprise Manager Database Control 10g Release 1 版本 10.1.0.5
  • Oracle Enterprise Manager Grid Control 10g Release 1 版本 10.1.0.5
  • Oracle Enterprise Manager Grid Control 10g Release 1 版本 10.1.0.6
  • Oracle PeopleSoft Enterprise PeopleTools 版本 8.48.17
  • Oracle PeopleSoft Enterprise PeopleTools 版本 8.49.11
  • Oracle PeopleSoft Enterprise CRM 版本 8.9
  • Oracle PeopleSoft Enterprise CRM 版本 9.0
  • Oracle WebLogic Server (formerly BEA WebLogic Server) 版本 10.0 through MP1
  • Oracle WebLogic Server (formerly BEA WebLogic Server) 版本 9.0, 9.1, 9.2 through MP3
  • Oracle WebLogic Server (formerly BEA WebLogic Server) 版本 8.1 through SP6
  • Oracle WebLogic Server (formerly BEA WebLogic Server) 版本 7.0 through SP7
  • Oracle WebLogic Server (formerly BEA WebLogic Server) 版本 6.1 through SP7

解決方案

在安裝軟體之前，請先瀏覽軟體供應商之網站，以獲得更多詳細資料。

漏洞識別碼

資料來源

相關連結

分享至

上一頁

HP Oracle for OpenView 多個漏洞

2008年07月17日 2658 觀看次數

下一頁

Mozilla Firefox Mac OS X 版本 GIF 轉譯執行程式碼漏洞

2008年07月18日 2788 觀看次數

我們使用cookie為您提供最佳的網站體驗。繼續瀏覽本網站，即表示您同意使用cookie。有關更多詳細信息，請閱讀我們的Cookie政策。

隱私政策