Sistemas Oracle afectados por nuevas vulnerabilidades

Se han descubierto dos vulnerabilidades que afectan a sistemas Oracle,
la primera una denegación de servicio remota en Oracle9i SQL*NET y la
segunda un problema de cross-site scripting en scripts JSP de ejemplo de
Oracle 9iAS.
El primero de los problemas reside en un fallo en el mecanismo de
depuración de Oracle9i. Para explotar esta vulnerabilidad los atacantes
los atacantes deben enviar una petición especialmente creada al Oracle9i
SQL*NET listener. Debido al fallo en la implementación, Oracle9i no
trata la petición de forma correcta y deja de responder.

Todas las instalaciones de Oracle9i son vulnerables a este ataque, que
puede solucionarse mediante la instalación del parche con el número
2467947 desde http://metalink.oracle.com.

Por otra parte Oracle 9iAS se distribuye con un número de scripts JSP de
ejemplo que son vulnerables ante ataques de Cross-Site Scripting. Esto
es debido a que no se limpian adecuadamente los datos introducidos en
los campos de texto de los formularios de los scripts vulnerables. Estos
datos también pueden introducirse en las cadenas de consulta de los CGI.
Los scripts afectados son: ‘hellouser.jsp’, ‘welcomeuser.jsp’ y
‘usebean.jsp’.

Para evitar este problema se debe eliminar los archivos jsp de las
siguientes URLs:
/ora9ias/j2ee/OC4J_Demos/applications/ojspdemos/ojspdemos-web/basic/simp
le
/ora9ias/j2ee/OC4J_Demos/applications/ojspdemos/ojspdemos-web/basic/hell
ouser

Más información:

Security vulnerability in Oracle Net (Oracle9i Release 2 Database
Server)
http://otn.oracle.com/deploy/security/pdf/2002alert38rev1.pdf

Oracle9i Application Server Oracle Java Server Page (OJSP) Demos
Vulnerability
http://otn.oracle.com/deploy/security/pdf/2002alert41rev1.pdf