公開日：2003/02/20　最終更新日：2003/02/20

JVNCA-2003-05
Oracle Server に複数の脆弱性

概要

Oracle データベースならびにアプリケーションサーバには、バッファーオーバーフロー、入力確認の問題に関する複数の脆弱性が存在します。
最も深刻な脆弱性については、遠隔から任意のコードを実行される可能性があります。

影響を受けるシステム

  • Oracle 8,8i,9i Database Server (8.0.x, 8.1.x, 9.0.1.x, 9.2.0.x) の稼働するシステム
  • Oracle9i Application Server (9.0.2, 9.0.3) の稼働するシステム
    注：日本オラクルのセキュリティアラートに基づきバージョン情報表記を行なっています。

詳細情報

想定される影響

遠隔から第三者が任意のコードを実行したり、データベースに格納された情報の読み取り/改変/削除、サービス運用妨害 (denial-of-service, DoS) 攻撃を行なう可能性があります。

対策方法

ベンダ情報

ベンダ リンク
富士通 CA-2003-05に対する富士通の情報
富士通 CA-2003-05に対するSolaris OEの情報
オラクル BFILENAME関数の潜在的なセキュリティの脆弱性
オラクル TZ_OFFSET関数の潜在的なセキュリティの脆弱性
オラクル TO_TIMESTAMP_TZ関数の潜在的なセキュリティの脆弱性
オラクル ORACLE実行モジュールの潜在的なセキュリティの脆弱性
オラクル Oracle9i Application Server の２つのセキュリティの脆弱性の問題

参考情報

  1. CERT Vulnerability Note VU#663786
    Oracle9i Database contains remotely exploitable buffer overflow in "BFILENAME" function
  2. CERT Vulnerability Note VU#743954
    Oracle9i Database contains remotely exploitable buffer overflow in "TZ_OFFSET" function
  3. CERT Vulnerability Note VU#840666
    Oracle9i Database contains remotely exploitable buffer overflow in "TO_TIMESTAMP_TZ" function
  4. CERT Vulnerability Note VU#953746
    Oracle9i Database contains remotely exploitable buffer overflow in "ORACLE.EXE"
  5. CERT Vulnerability Note VU#849993
    Some implementations of mod_dav contain a format string vulnerability in "ap_log_rerror()" function
  6. CERT Vulnerability Note VU#511194
    Oracle9i Application Server MOD_ORADAV Module vulnerable to DoS
  7. CIAC Bulletin N-046
    Multiple Vulnerabilities in Oracle Servers
  8. ISS X-Force Database: oracle-totimestamptz-bo (11327)
    Oracle Database Server TO_TIMESTAMP_TZ() buffer overflow
  9. ISS X-Force Database: oracle-username-bo (11328)
    Oracle Database Server ORACLE.EXE username buffer overflow
  10. LAC
    CERT Advisory CA-2003-05 Multiple Vulnerabilities in Oracle Servers [翻訳版]

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT JPCERT-WR-2003-0801
JPCERT/CC REPORT 2003-02-26
CERT Advisory CERT Advisory CA-2003-05
Multiple Vulnerabilities in Oracle Servers
CPNI Advisory
TRnotes
CVE CAN-2003-0095
VU#953746,XF11328
JVN iPedia