Se han encontrado varios problemas que pueden ocasionar
vulnerabilidades en el servidor de aplicaciones Internet de Oracle en
todas sus plataformas. La primera vulnerabilidad se pueden encontrar
en el componente WebDB/Portal Listener y modplsql, la segunda
vulnerabilidad afecta a todas las versiones del gateway PL/SQL lo que
incluye Oracle Application Server (OAS), WebDB/Portal listener e iAS
(Internet Aplication Server).
El primero de los fallos hace referencia a un problema de
configuración asociado a Portal Listener y modplsql. Cuando estos
componentes se encuentran instalados la configuración por defecto
permite a todos los usuarios el acceso a las páginas de administración
de Listener y modplsql.
La segunda vulnerabilidad puede ocurrir si el administrador concede
acceso público a los procedimientos PL/SQL. En particular a aquellos
con acceso a la base de datos Oracle, como OWA, SYS y DBMS. Puesto que
se puede acceder a los procedimientos públicos a través de una URL,
esto puede permitir a un usuario invocar dichos procedimientos desde
una URL y provocar la ejecución de expresiones SQL en la base de datos
Oracle.
El primero de los fallos descritos puede ocurrir si no se cambian los
permisos por defecto para las páginas de administración tras la
instalación de WebDB/Portal. El segundo depende del diseño de la
aplicación que hace uso del gateway PL/SQL, pero puede ocurrir siempre
que un procedimiento tenga acceso público.
Para evitar estos problemas será necesario especificar que el Listener
y el administrador de modplsql deben ser uno o más usuarios conocidos.
Esto se puede hacer fácilmente editando el archivo de configuración
wdbsvr.app en WebDB/Portal. Al comienzo del archivo hay un campo
titulado «administrators=», en el que se deberán especificar los
nombres de los usuarios con privilegios administrativos.
Como medida de seguridad adicional, el administrador puede modificar
la ruta de las páginas empleadas para la administración. La ruta por
defecto es «admin_», pero puede modificarse en el archivo wdbsvr.app
por cualquier otra cadena.
Para evitar los problemas producidos por los procedimientos PL/SQL con
acceso público es recomendable cancelar el acceso público a
procedimientos como OWA, SYS y DBMS que pueden permitir a un usuario
la ejecución de comandos SQL especificados.
antonior@hispasec.com
Más información:
Oracle
http://www.oracle.com
Deja un comentario