Oracle filtra accidentalmente una vulnerabilidad de seguridad de la base de datos

Aún falta una semana para la próxima actualización importante del parche de Oracle, pero los usuarios de la base de datos de Oracle ya tienen que preocuparse por un fallo de seguridad que parece haber sido filtrado accidentalmente por el propio Oracle

Según Alexander Kornbrust, un conocido investigador de seguridad de bases de datos y gerente comercial de Red Database Security GmbH en Alemania, Oracle publicó accidentalmente un artículo que presenta esta vulnerabilidad de seguridad en su sitio web de soporte técnico al cliente MetaLink, que también incluía cómo explotar esta vulnerabilidad de seguridad.

Kornbrust publicó una publicación en el sitio web de Red Database Security diciendo que Oracle publicó un artículo en el sitio web de MetaLink el 26 de marzo detallando una vulnerabilidad de seguridad sin parches y el código que explota esta vulnerabilidad de seguridad. Esta vulnerabilidad de seguridad afecta a todos, desde una versión de todas. versiones del software de base de datos Oracle. Dijo que este artículo también apareció en la sección Daily News del sitio web MetaLink y fue enviado a los suscriptores de la columna Daily News.

Dijo que esta escalada de privilegios es de alto riesgo para la seguridad. La vulnerabilidad ocurre cuando la base de datos Oracle procesa ciertas vistas creadas por usuarios autorizados con privilegios SELECT pueden aprovechar esta vulnerabilidad de seguridad para incrustar actualizaciones o eliminar código arbitrario.

Famoso El equipo francés de respuesta a incidentes de seguridad, una agencia de eliminación de vulnerabilidades de seguridad. , analizó esta vulnerabilidad de seguridad y emitió su propio boletín de seguridad, clasificando esta vulnerabilidad de seguridad como una vulnerabilidad moderadamente peligrosa

Kornbrust dijo que estaba al tanto de ello. Después de esta vulnerabilidad de seguridad, envió un correo electrónico a Oracle para informar el artículo que filtraba la vulnerabilidad de seguridad. Luego, Oracle eliminó el artículo en el sitio web de MetaLink. Criticó el enfoque de Oracle en el sitio web de Red Database Security y dijo que las vulnerabilidades de seguridad que se filtraban generalmente perjudicaban a otras personas.

Dijo que Oracle generalmente critica a personas o empresas por publicar información sobre las vulnerabilidades de seguridad de Oracle, pero esta vez Oracle no solo detalló la vulnerabilidad de seguridad en el sitio web MetaLink sino que también proporcionó un código para la falla de seguridad.

Un portavoz de Oracle no respondió de inmediato a una solicitud de comentarios, pero Kornbrust dijo que Oracle le había dicho que un futuro parche crítico solucionará la vulnerabilidad de seguridad. La próxima actualización del parche crítico de Oracle se lanzará el martes 27 de octubre. Kornbrust expresó dudas de que Oracle pueda solucionar la vulnerabilidad de seguridad en ese momento

Kornbrust sugirió que se pueden tomar las siguientes medidas para evitar la vulnerabilidad antes de que se solucione lishixinzhi/Article/program/ Oracle. /201311/18682