Oracle iSQL*Plus è un'applicazione web che aiuta su server Apache l'interrogazione dei database.

La versione Oracle Database 9i R1,2 contiene un bug di buffer overflow classico. L'applicazione richiede un login per accedere alle sue pagine itnerne ed effettuare le query, se all'atto del login gli si invia un username troppo lungo lo stack va in overflow dando così modo all'attacker di lanciare codice personale senza alcun controllo.

In questo modo l'intruso può portare attacchi al db stesso ed utilizzare la macchina come jump.

La patch si può scaricare da qui: http://metalink.oracle.com/.

Fonte: SecurityFocus