Se han ofrecido los detalles de dos vulnerabilidades en Oracle9iAS
Web Cache y Oracle Application Server que pueden ser explotadas
por usuarios maliciosos para realizar ataques de tipo cross-site
scripting, manipular datos y saltarse ciertos mecanismos de seguridad.
La primera se debe a que las entradas recibidas en los parámetros
‘cache_dump_file’ y ‘PartialPageErrorPage’ en ‘webcacheadmin’ en el
puerto 4000 no son filtradas adecuadamente antes de ser devueltas al
usuario, lo que puede ser explotado para ejecutar código HTML y script
arbitrario en el navegador de la víctima con el contexto de seguridad
del sitio afectado. Esta vulnerabilidad puede ser explotada con
posterioridad para escribir basura en archivos arbitrarios con el
parámetro ‘cache_dump_file’.
Se puede acceder a URLs restringidas en Oracle Application Server
(puerto 7779) mediante Web Cache en el puerto 7778.
Estas vulnerabilidades han sido confirmadas en un sistema con Oracle
Application Server y Oracle9iAS Web Cache. La actualización que Oracle
publicó el día 13 de abril y que también fue comentada en una-al-dia,
incluye (entre otros muchos) la corrección para estos problemas. Hay
que recordar que Oracle no facilitó en aquel momento detalle alguno
sobre los problemas corregidos, sus causas y sus incidencias, pero
desarrolladores e investigadores independientes empiezan a publicar
dicha información. Desde Hispasec recomendamos la actualización de
los sistemas con el parche publicado por Oracle, disponible en:
http://metalink.oracle.com/metalink/plsql/showdoc?db=Not&id=301040.1
roman@hispasec.com
Más información:
Cross Site Scripting in Oracle Webcache 9i
http://www.red-database-security.com/advisory/oracle_webcache_CSS_vulnerabilities.html
Append file in Oracle Webcache 9i
http://www.red-database-security.com/advisory/oracle_webcache_append_file_vulnerabilitiy.html
Oracle corrige 75 vulnerabilidades con su actualización trimestral
http://www.hispasec.com/unaaldia/2364/
Critical Patch Update – April 2005
http://www.oracle.com/technology/deploy/security/pdf/cpuapr2005.pdf
Oracle Corporation
http://www.oracle.com
