database.sarang.net
UserID
Passwd
Database
DBMS
MySQL
PostgreSQL
Firebird
ㆍOracle
Informix
Sybase
MS-SQL
DB2
Cache
CUBRID
LDAP
ALTIBASE
Tibero
DB 문서들
스터디
Community
공지사항
자유게시판
구인|구직
DSN 갤러리
도움주신분들
Admin
운영게시판
최근게시물
Oracle News 9845 게시물 읽기
No. 9845
[보안] Oracle 9i Database Server 원격 취약점
작성자
문태준(taejun)
작성일
2002-02-10 12:36
조회수
12,864

[출처] http://www.certcc.or.kr/advisory/ka2002/ka2002-016.txt

 

======================

KA-2002-016 : Oracle 9i Database Server 원격 취약점

----------------------

 

최초작성일 : 2002/02/07

갱 신 일 :

출 처 : NGSSoftware Security Research(http://www.nextgenss.com/advisories)

작 성 자 : 강준구, jgkang@certcc.or.kr

 

-- 제목 --------------

Remote Compromise in Oracle 9i Database Server

 

-- 해당 시스템 -------

Oracle 9, 8 이 탑재되어 있는 모든 Operating System

 

-- 설명---------------

공격자는 유저ID 와 패스워드 없이 오라클 데이터베이스 서버를 운영하는 시스템에 원격으로 임의의 라이브러리 내의 임의의 함수를 실행시킬 수 있다. 오라클 데이터베이스의 많은 부분들이 PL/SQL 패키지에 의해 제공되어 진다.

PL/SQL는 SQL을 확장하여 Dynamic Link Library 또는 O/S 라이브러리의 함수를 호출할 수 있는 패키지로 구현되어져 있다. 공격자는 system() 함수를 호출하여 프로그램을 실행하고자 하면, 반드시 오라클 데이터베이스에 로그인 접속한 후 공격이 성공하기 이전에 CREATE LIBRARY에 대한 허가를 받아야 하는데 공격자는 인증절차 없이 임의의 라이브러리를 로딩할 수 있는 취약점이 발견됐다.

 

--영향----------------

오라클 데이터베이스 서버 라이브러리 내에 탑재되어 있는 함수를 임의로 인증절차 없이 실행시킬 수 있다.

 

-- 해결책---------------

첫째: Firewall을 사용해라. 어느 누구도 인터넷으로부터 1522번 listener 포트로의 접근은 불가능하다. Firewall은 인터넷 접속으로의 위험을 없앨 수 있다.

둘째: 오라클 데이터베이스의 PLSExtproc 기능이 필요 없다면 삭제할 수 있다. 이 기능을 삭제하기 위해서는 tnsnames.ora 와 listener.ora내의 엔트리도 삭제하여야 한다. PLS External Procedure Service에는 아주 다양한

이름들이 오라클 버전과 시스템에 있다. 그 예로 icache_extproc, PLSExtproc, 또는 extproc 같은 것들이 있다.

그중 extproc(.exe)도 삭제할 것을 권고한다. 만약, 이 기능이 필요하면 listener에 접근할 수 있는 기계를 제한하라.

이 기계는 단지 IP address에만 의존하기 때문에 믿을 수 있는 메커니즘이므로 도움이 된다. 이를 제한하는 프로세스를 "valid node checking" 이라 하며, 이는 $ORACLE_HOME\network\admin 디렉토리 sqlnet.ora file의 수정을 요구한다.

다음과 같은 엔트리를 삽입하면 된다.

tcp.validnode_checking = YES

tcp.invited_nodes = (211.255.1.1, hostname)

 

211.255.1.1, hostname을 Access를 요구하는 호스트 IP와 이름을 대신해서 사용하라. 이 리스트에 없는 호스트도 listener에 TCP 접속을 할 수 있으나 listener는 바로 접속을 차단시킨다.

 

현재 패치는 오라클과 NGSSoftware가 현재 준비중이다.

 

 

------- 참조 사이트 --------------------------

vendor URL: http://www.oracle.com/

http://www.nextgenss.com/advisories/oraplsextproc.txt

 

--------------------------------------------------------------

한국정보보호진흥원(Korea Information Security Agency),

Computer Emergency Response Team Coordination Center , CERTCC-KR

전화: 118 (지방 02-118) Email: cert@certcc.or.kr

==============================================================

[Top]
No.
제목
작성자
작성일
조회
14701오라클「일일결산」DW 시장 공략 무기 될까?
정재익
2003-06-19
16636
12406Oracle 9i JDeveloper CD 신청하세요. [1]
정재익
2002-10-29
17339
11869Oracle XML DB 로드쇼 (대전/광주/부산/대구)에 참가하세요!
정재익
2002-08-31
9800
9845[보안] Oracle 9i Database Server 원격 취약점
문태준
2002-02-10
12864
9009저성장 시대 기업 효율성 증대를 위한 돌파구는 e-비즈니스 전환 뿐
정재익
2001-12-24
7719
8871Oracle9i Lite
정재익
2001-12-13
10807
8724오라클「J2EE와 웹서비스 지원 가능한 오라클9i J디벨로퍼」
정재익
2001-12-06
7119
Valid XHTML 1.0!
All about the DATABASE... Copyleft 1999-2019 DSN, All rights reserved.
작업시간: 0.075초, 이곳 서비스는
	PostgreSQL v11.5로 자료를 관리합니다