Oracle XML数据库缓冲区溢出漏洞发布时间：2003-08-19 更新时间：2003-08-19 严重程度：高 威胁程度：远程管理员权限 错误类型：边界检查错误 利用方式：服务器模式 BUGTRAQ ID：8447 受影响系统 Oracle Oracle9i Client Edition 9.2 .0.2详细描述 Oracle报告了Oracle 9i Release 2中的XML数据库功能存在远程缓冲区溢出。 这些漏洞可以通过HTTP或者FTP服务触发，这些服务默认开启，如果攻击者拥有数据库合法的帐户信息，即使这些服务关闭也能利用这些漏洞。 漏洞主要是XDB HTTP对用户提交的超长用户名或密码缺少正确检查。还有是XDB FTP服务对用户提交的用户名、TEST、UNLOCAK等命令缺少充分长度检查。 测试代码 尚无 解决方案 ORACLE建议管理员关闭服务： 1，打开Oracle 9i数据库服务配置文件"INIT.ORA" 2，在"dispatchers"参数行，删除如下字符串： ?(SERVICE=<sid-name>XDB)" <sid-name>是数据库SID。 3，再重新启动数据库。 相关信息 David Litchfield of Next Generation Security Software. 参考：http://otn.oracle.com/deploy/security/pdf/2003Alert58.pdf |
