[SECURITY-L] Oracle9i e´ vulneravel a ataques DoS

[Daniela Regina Barbetti Silva]

----- Forwarded message from caio_sm <caio_sm em ibahia.com> -----

From: "caio_sm" <caio_sm em ibahia.com>
Subject: Oracle9i e´ vulneravel a ataques DoS 
To: daniela em ccuec.unicamp.br
Date: Thu, 15 Aug 2002 00:24:35 GMT


Oracle9i é vulnerável a ataques DoS 

14/8/2002 - 20:29 Giordani Rodrigues 

O servidor de banco de dados Oracle9i possui uma falha no mecanismo de
depuração de requisições que possibilita a um cracker lançar um ataque
remoto de negação de serviço (DoS), derrubando o sistema. Segundo a empresa
de segurança IIS, que descobriu o bug, todas as versões do Oracle9i são
vulneráveis. 

Para explorar a vulnerabilidade, um cracker precisa enviar uma requisição
especialmente preparada para o serviço SQL*NET, usado na comunicação
cliente-servidor ou servidor-servidor em uma rede. Devido a uma
implementação defeituosa, o Oracle9i não consegue lidar adequadamente com a
requisição e o sistema "cai".

A Oracle já disponibilizou uma correção para o problema, a qual pode ser
encontrada na seção MetaLink( http://metalink.oracle.com/ ) de seu site. O
bug é identificado pelo número 2467947 e está descrito no alerta de
segurança 38. A empresa também recomenda que os administradores dos
sistemas afetados avaliem a possibilidade de habilitar a função "Valid Node
Checking", que restringe o acesso ao SQL*NET apenas a servidores e clientes
autorizados.

A ISS sugere ainda que a porta TCP/IP 1521, usada como padrão pelo SQL*NET,
seja filtrada para limitar o acesso ao serviço e diminuir o risco de
ataques. Maiores detalhes sobre a falha podem ser encontrados no site:


http://bvlive01.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=20941


TEXTO RETIRADO DO SITE:

http://www.infoguerra.com.br/

 
Caio Souza Mendes

----- End forwarded message -----