red-database-security gmbh公司的一位安全研究人員alexander kornbrust稱，在他公開這些安全漏洞的細(xì)節(jié)之前，他曾試圖公平地與甲骨文打交道。但是，650多天(663天至718天之間)的等待應(yīng)該足夠了，特別是對于一家大公司來說。他補(bǔ)充說，他在三個(gè)月前還曾通知甲骨文說，如果甲骨文在7月份的安全補(bǔ)丁中不修復(fù)這些安全漏洞，他將公開宣布這些安全漏洞。kornbrust還向甲骨文提供了額外的時(shí)間修復(fù)這些安全漏洞，如果甲骨文需要延長時(shí)間的話。但是，甲骨文從來沒有要求額外的時(shí)間。
kornbrust的情況并不是孤立的。業(yè)內(nèi)普遍都知道，包括ngssoftware軟件公司的david litchfield在內(nèi)的許多安全人員都曾向甲骨文報(bào)告過安全問題，而甲骨文一直都沒有解決。許多報(bào)告的安全問題都有一年多時(shí)間了。
有些人認(rèn)為，甲骨文和red-database-security公司之間存在溝通問題。kornbrust說，存在溝通問題是可能的。但是，為什么david litchfield報(bào)告的13高危等級的安全漏洞和4個(gè)中等的安全漏洞在將近一年的時(shí)間里都沒有修復(fù)呢?甲骨文下一次發(fā)布安全補(bǔ)丁的時(shí)間是在2005年10月份，那些漏洞的報(bào)告時(shí)間超過一年了。我聽說idefense和appsecinc等公司也對緩慢的安全漏洞處理過程提出了同樣的抱怨。
kornbrust表示，最嚴(yán)重的一個(gè)安全漏洞能夠通過“oracle reports”中的“desname”程序覆蓋任何文件。這個(gè)安全漏洞影響oracle reports6.0、6i、9i和10g版本。oracle reports是甲骨文應(yīng)用服務(wù)器軟件中的一個(gè)組件，用于電子商務(wù)套裝軟件中，大多數(shù)大型企業(yè)都使用這個(gè)軟件作為企業(yè)應(yīng)用的報(bào)告工具。他說，通過修改一個(gè)url，黑客能夠摧毀在網(wǎng)絡(luò)上的甲骨文應(yīng)用服務(wù)器。通過“google hacking”可以查找到安全漏洞報(bào)告服務(wù)器。黑客在幾分鐘之內(nèi)就可以摧毀幾臺(tái)應(yīng)用服務(wù)器。他還指出，兩個(gè)允許操作系統(tǒng)執(zhí)行命令的安全漏洞也特別嚴(yán)重。“oracle forms services”中存在一個(gè)高危等級的安全漏洞。這個(gè)軟件是甲骨文應(yīng)用服務(wù)器軟件的一個(gè)組件，用于甲骨文電子商務(wù)套裝軟件和許多企業(yè)應(yīng)用程序中。kornbrust說，這個(gè)安全漏洞能夠讓操作系統(tǒng)執(zhí)行命令。
這個(gè)安全漏洞影響甲骨文oracle (web) forms 4.5、5.0、6.0、6i、9i和10g版。
“oracle forms services”可以從任何目錄和任何在應(yīng)用服務(wù)器中的用戶那里啟動(dòng)可執(zhí)行的表格(*.fmx)文件。kornbrust在安全公告中稱，這些表格可以作為甲骨文用戶和系統(tǒng)(windows)用戶執(zhí)行。攻擊者向應(yīng)用服務(wù)器上載一個(gè)精心制作的可執(zhí)行表格文件就可以執(zhí)行任何操作系統(tǒng)命令并且接管應(yīng)用服務(wù)器的控制權(quán)。文件上載可通過webdav、smb、webutil、samba、nfs和ftp等多種途徑。通過使用這種表格或者具有絕對路徑的模塊參數(shù)，攻擊者就可以從任何目錄和任何用戶那里執(zhí)行那些可執(zhí)行的表格文件。
還有一個(gè)高風(fēng)險(xiǎn)安全漏洞能夠讓攻擊者通過未經(jīng)授權(quán)的“oracle reports”軟件運(yùn)行任何操作系統(tǒng)命令。這個(gè)安全漏洞影響oracle reports 6.0、6i、9i和10g版。
這個(gè)安全公告稱:“oracle reports”能夠從應(yīng)用服務(wù)器中的任何目錄和任何用戶那里啟動(dòng)可執(zhí)行的報(bào)告文件(*.rep 或者 *.rdf文件)。這些報(bào)告可作為甲骨文用戶或者系統(tǒng)(windows)用戶執(zhí)行。攻擊者向應(yīng)用服務(wù)器上載精心制作的報(bào)告文件就可以執(zhí)行任何系統(tǒng)命令或者讀、寫應(yīng)用服務(wù)器中的文件(如包含甲骨文口令的wdbsvr.app文件)。通過使用這種具有絕對路徑的報(bào)告參數(shù)，攻擊者就可以從任何目錄和任何用戶那里執(zhí)行那些可執(zhí)行的報(bào)告文件。
其它安全漏洞不太嚴(yán)重，包括兩個(gè)中等風(fēng)險(xiǎn)的信息暴露安全漏洞，一個(gè)“desformat”安全漏洞，和另一個(gè)在個(gè)性化參數(shù)中的漏洞。其余的低風(fēng)險(xiǎn)的交叉站點(diǎn)腳本影響“oracle reports”軟件。
korbrust建議說，用戶應(yīng)該認(rèn)真閱讀這些安全公告，設(shè)法理解這些問題并且首先在自己的測試系統(tǒng)中采取繞過這些漏洞的措施。如果通過測試，他們應(yīng)該在生產(chǎn)系統(tǒng)中采取這些繞過漏洞的措施。
kornbrust做結(jié)論說，用戶應(yīng)該質(zhì)問甲骨文，為什么它要用這樣長的時(shí)間修復(fù)這些安全漏洞。是甲骨文的安全團(tuán)隊(duì)太小不能處理所有這些問題嗎?