S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 juillet 2003 No CERTA-2003-AVI-121

Affaire suivie par :

CERTA

Objet : Débordement de mémoire dans le programme FNDWRR de la suite Oracle E-Business

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Elévation de privilèges ;
• exécution de code arbitraire.

2 Systèmes affectés

Oracle E-Business Suite version 11.0 et toutes les versions de 11.5.1 à 11.5.8 incluses.

3 Résumé

Une vulnérabilité de type débordement de mémoire a été découverte dans un programme de la suite Oracle E-Business, et permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur la machine.

4 Description

Le programme Oracle Applications Web Report Review (FNDWRR) est un programme CGI utilisé pour visualiser les rapports et les journaux au travers d'un navigateur web.

Ce programme est installé sous le nom FNDWRR.exe sur les plates-formes UNIX et Windows.

Une vulnérabilité de cette application de type débordement de mémoire permet à un utilisateur distant d'exécuter du code arbitraire sur la machine.

Cette vulnérabilité peut être exploitée à l'aide d'un navigateur web, par le biais d'une URL malicieusement construite.

5 Solution

Appliquer le correctif fourni par Oracle (cf. section Documentation).

Il est fortement recommandé d'effectuer des sauvegardes avant l'application du correctif, et de tester la stabilité du système une fois la mise à jour installée.

La prochaine version de la suite Oracle E-Business (11.5.9) corrigera la vulnérabilité.

6 Documentation

Alerte de sécurité Oracle #56 :

http://otn.oracle.com/deploy/security/pdf/2003alert56.pdf

Alerte de sécurité Integrigy :

http://www.integrigy.com/resources.htm

Gestion détaillée du document

25 juillet 2003

version initiale.