Ahogy arról a múlt heti összefoglalóban is írtam, az Oracle kiadta szokásos negyedéves biztonsági frissítőcsomagját. Sajnos a gyártó még mindig csekély mennyiségű információt közöl a javított sérülékenységekről, de a Full-Disclosure listára befutott egy üzenet, melyben Joxean Koret egy általa négy éve felfedezett, valószínűleg az RDBMS 8i verziója óta (több mint egy évtizede) jelen lévő, az Oracle által most javított sérülékenység részleteit írja le, valamint a probléma kihasználásához szükséges PoC-t is közzétesz.

A sérülékenység a felhasználókat az adatbázispéldányokhoz irányító TNS szolgáltatást érinti. Mint kiderült, ez a szolgáltatás bármiféle hitelesítés nélkül elfogad távolról érkező adatbázis regisztrációkat*, így egy támadó minden további nélkül regisztrálhatja önmagát egy már létező példány nevével. Ekkor a TNS lényegében terheléselosztóvá válik, a csatlakozó klienseket vagy a valódi példányhoz, vagy a támadóhoz irányítja, aki közbeékelődve lehallgathatja az éppen felé irányított kliens által bevitt ill. lekérdezett adatokat, az átmenő SQL utasítások módosításával pedig elméletileg tetszőleges saját parancsot szúrhat az adatfolyamba.

* A leírás alapján számomra nem egyértelmű, hogy egyfajta konkurencia probléma is szerepet játszik-e, vagy Koret egyszerűen lusta volt lekódolni a protokoll további részét. Remélem az Oracle guruk majd megmondják a tutit! 

+++

A MySQL is kapott frissítést, de az új kiadás tesztesetei között véletlenül ott maradt egy (megfelelő DB jogosultság birtokában kihasználható) DoS sérülékenység tesztelésére szolgáló parancsfájl, lényegében egy PoC exploit.