Acceso a archivos arbitrarios en Oracle E-Business Suite

Se ha anunciado la existencia de una vulnerabilidad en Oracle
E-Business Suite que permitirá a los usuarios remotos la recuperación
de cualquier archivo que pueda ser leído por las cuentas «oracle» o
«applmgr».

El problema existe debido a una debilidad en el protocolo empleado
para las comunicaciones con Oracle Applications FND File Server. Para
explotar esta vulnerabilidad los usuarios necesitan acceso al servidor
Concurrent Manager a través de TNS Listener (también conocido como
SQL*Net y Net8).

Se ven afectadas por este problema las versiones:
Oracle Applications 10.7
Oracle Applications 11.0
Oracle E-Business Suite 11i

Oracle ha publicado los siguientes parches disponibles desde
http://metalink.oracle.com/

Oracle E-Business Suite 11i
Parche 2782945

Oracle Applications 11.0
Parche 2782950

Oracle Applications 10.7
No hay parche disponible.

Más información:

Oracle Security Alert 53
Report Review Agent (RRA/FNDFS) Vulnerability in Oracle E-Business Suite
http://otn.oracle.com/deploy/security/pdf/2003alert53.pdf