[news] Oracle iSQL*Plus bug e patch

[Al è qui]

Oracle iSQL*Plus è un'applicazione web che aiuta su server Apache l'interrogazione dei database.

La versione Oracle Database 9i R1,2 contiene un bug di buffer overflow classico. L'applicazione richiede un login per accedere alle sue pagine itnerne ed effettuare le query, se all'atto del login gli si invia un username troppo lungo lo stack va in overflow dando così modo all'attacker di lanciare codice personale senza alcun controllo.

In questo modo l'intruso può portare attacchi al db stesso ed utilizzare la macchina come jump.

La patch si può scaricare da qui: http://metalink.oracle.com/.

Fonte: SecurityFocus

[barney09]

Merita un UP

[Al è qui]

[supersaibal]Originariamente inviato da barney09
Merita un UP [/supersaibal]

Concordo... :gren:

[WeirdOmen]

Ma mi chiedo, è difficile verificare, prima di pubblicare un programma, se è soggetto ad overflows pericolosi con metodi "scemi" tipo inviare un username troppo lungo?

Cioè... al primo che ha provato questo trucco sul programma, quanto tempo ci sarà voluto prima che gli venisse in mente... 10 secondi?