|
|
Oracle 9iAS PL/SQL OWA_UTIL未授权存储过程访问漏洞
发布时间：2002-03-19
更新时间：2002-03-19
严重程度：中
威胁程度：服务器信息泄露
错误类型：配置错误
利用方式：服务器模式
BUGTRAQ ID：4294
受影响系统Oracle Oracle 9i Application Server 0.0
- Compaq Tru64 4.0g
- Compaq Tru64 5.0
- Compaq Tru64 5.0a
- Compaq Tru64 5.0f
- Compaq Tru64 5.1
- HP HP-UX 7.0
- HP HP-UX 7.2
- HP HP-UX 7.4
- HP HP-UX 7.6
- HP HP-UX 7.8
- HP HP-UX 8.0
- HP HP-UX 8.1
- HP HP-UX 8.2
- HP HP-UX 8.4
- HP HP-UX 8.5
- HP HP-UX 8.6
- HP HP-UX 8.7
- HP HP-UX 8.8
- HP HP-UX 8.9
- HP HP-UX 9.0
- HP HP-UX 9.1
- HP HP-UX 9.3
- HP HP-UX 9.4
- HP HP-UX 9.5
- HP HP-UX 9.6
- HP HP-UX 9.7
- HP HP-UX 9.8
- HP HP-UX 9.9
- HP HP-UX 9.10
- HP HP-UX 10.0
- HP HP-UX 10.01
- HP HP-UX 10.1
- HP HP-UX 10.8
- HP HP-UX 10.9
- HP HP-UX 10.10
- HP HP-UX 10.16
- HP HP-UX 10.20
- HP HP-UX 10.26
- HP HP-UX 10.30
- HP HP-UX 10.34
- HP HP-UX 11.0
- HP HP-UX 11.04
- HP HP-UX 11.11
- IBM AIX 1.2.1
- IBM AIX 1.3
- IBM AIX 2.2.1
- IBM AIX 3.0x
- IBM AIX 3.1
- IBM AIX 3.2
- IBM AIX 3.2.4
- IBM AIX 3.2.5
- IBM AIX 4.0
- IBM AIX 4.1
- IBM AIX 4.1.1
- IBM AIX 4.1.2
- IBM AIX 4.1.3
- IBM AIX 4.1.4
- IBM AIX 4.1.5
- IBM AIX 4.2
- IBM AIX 4.2.1
- IBM AIX 4.3
- IBM AIX 4.3.1
- IBM AIX 4.3.2
- IBM AIX 4.3.3
- IBM AIX 5.1
- Microsoft Windows 2000 Workstation 0.0
- Microsoft Windows 2000 Workstation 0.0SP1
- Microsoft Windows 2000 Workstation 0.0SP2
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0SP1
- Microsoft Windows NT 4.0SP2
- Microsoft Windows NT 4.0SP3
- Microsoft Windows NT 4.0SP4
- Microsoft Windows NT 4.0SP5
- Microsoft Windows NT 4.0SP6a
- Sun Solaris 1.1
- Sun Solaris 1.1.1
- Sun Solaris 1.1.2
- Sun Solaris 1.1.3
- Sun Solaris 1.1.3_U1
- Sun Solaris 1.1.4
- Sun Solaris 1.1.4-JL
- Sun Solaris 1.2
- Sun Solaris 2.0
- Sun Solaris 2.1
- Sun Solaris 2.2
- Sun Solaris 2.3
- Sun Solaris 2.4
- Sun Solaris 2.4_x86
- Sun Solaris 2.5
- Sun Solaris 2.5_x86
- Sun Solaris 2.5.1
- Sun Solaris 2.5.1_x86
- Sun Solaris 2.6
- Sun Solaris 2.6_x86
- Sun Solaris 2.6_x86HW3/98
- Sun Solaris 2.6_x86HW5/98
- Sun Solaris 2.6HW3/98
- Sun Solaris 2.6HW5/98
- Sun Solaris 7.0
- Sun Solaris 7.0_x86
- Sun Solaris 8.0
- Sun Solaris 8.0_x86 详细描述
OWA_UTIL PL/SQL应用到处很多存储过程，可以通过WEB匿名访问。
这些存储过程可以泄露很多敏感信息给那些访问它们的WEB用户，也可能包含执行任意SQL查询。
在PL/SQL网关配置文件/Apache/modplsql/cfg/wdbsvr.app中使用exclusion_list参数限制PL/SQL过程和应用的PUBLIC访问，更多的信息请参考：
http://otn.oracle.com/deploy/security/pdf/ias_modplsql_alert.pdf
测试代码
尚无
解决方案
尚无
相关信息
参考：http://www.nextgenss.com/papers/hpoas.pdf
http://online.securityfocus.com/advisories/3964
相关主页：http://otn.oracle.com/deploy/security/pdf/ias_modplsql_alert.pdf
|
