S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 juillet 2003 No CERTA-2003-AVI-122

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans EXTPROC d'Oracle Database Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

• Oracle 9i Release 1 et 2 ;
• Oracle 8i.

3 Résumé

Une vulnérabilité a été découverte dans l'exécutable EXTPROC d'Oracle Database.

4 Description

Une vulnérabilité de type débordement de mémoire a été découverte dans l'exécutable EXTPROC d'Oracle Database. Un utilisateur authentifié à la base et possédant les privilèges CREATE LIBRARY ou CREATE ANY LIBRARY peut exploiter cette vulnérabilité afin d'exécuter du code arbitraire sur le serveur.

5 Solution

Appliquer le correctif fourni par Oracle suivant la version affectée (cf. Documentation).

6 Documentation

Alerte de sécurité #57 d'Oracle :

http://otn.oracle.com/deploy/security/pdf/2003alert57.pdf

Gestion détaillée du document

25 juillet 2003

version initiale.