Cert-Fi kertoo, että Oraclen ohjelmistoista on löytynyt paikkaamaton haavoittuvuus.
Oracle PL/SQL (Procedural Language/Structured Query Language) Gateway -komponentti tarjoaa tuen PL/SQL-pohjaisille sovelluksille www-ympäristöissä. PL/SQL Gateway -komponentista on löydetty haavoittuvuus.
Haavoittuvuus liittyy komponentin tapaan käsitellä tietyllä tavalla muokattuja http-pyyntöjä. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista saada pääkäyttäjän oikeudet taustalla olevaan Oracle tietokantapalvelimeen www-palvelimella olevan PL/SQL Gateway -komponentin kautta.
Haavoittuvuudelle ovat alttiita Oracle9i/10g Application Server, Oracle Internet Application Server ja Oracle HTTP Server.
Haavoittuvuuteen ei ole tällä hetkellä saatavilla korjausta valmistajalta, Cert-Fi:stä kerrotaan.
Haavoittuvuuden hyväksikäyttöä voidaan kuitenkin rajoittaa lisäämällä $ORACLE_HOME/Apache/Apache/conf - -hakemistosta löytyvään http.conf-tiedostoon seuraavat rivit:
RewriteEngine on
RewriteCond %{QUERY_STRING} ^.*\).*|.*%29.*$
RewriteRule ^.*$ http://palvelin/denied.htm?attempted-attack
RewriteRule ^.*\).*|.*%29.*$ http://palvelin/denied.htm?attempted-attack
Konfiguraatiomuutoksen jälkeen palvelin on käynnistettävä uudelleen.