CVE-2002-0560
CVSS5.0
发布时间 :2002-07-03 00:00:00
修订时间 :2016-10-17 22:20:35
NMCOS    

[原文]PL/SQL module 3.0.9.8.2 in Oracle 9i Application Server 1.0.2.x allows remote attackers to obtain sensitive information via the OWA_UTIL stored procedures (1) OWA_UTIL.signature, (2) OWA_UTIL.listprint, or (3) OWA_UTIL.show_query_columns.


[CNNVD]Oracle 9iAS PL/SQL OWA_UTIL非授权存储过程访问漏洞(CNNVD-200207-023)

        
        PL/SQL是Oracle对结构化查询语言的一种基于过程的扩展,PL/SQL基本上就是数据库中的存储过程,这些过程可以被外界调用。
        PL/SQL实现上存在问题,远程攻击者可以通过Web对这某些存储过程进行调用。
        远程攻击者可以通过匿名Web访问调用PL/SQL的OWA_UTIL存储过程,这可能会导致远程攻击者由此得到许多相关的敏感信息,也可能潜在地导致SQL查询命令的执行。
        

- CVSS (基础分值)

CVSS分值: 5 [中等(MEDIUM)]
机密性影响: [--]
完整性影响: [--]
可用性影响: [--]
攻击复杂度: [--]
攻击向量: [--]
身份认证: [--]

- CPE (受影响的平台与产品)

cpe:/a:oracle:application_server:1.0.2Oracle Application Server 9i 1.0.2
cpe:/a:oracle:oracle8i:8.1.7.1
cpe:/a:oracle:oracle9i:9.0.1
cpe:/a:oracle:application_server_web_cache:2.0.0.1Oracle Oracle9iAS Web Cache 2.0.0.1
cpe:/a:oracle:application_server_web_cache:2.0.0.0Oracle Oracle9iAS Web Cache 2.0.0.0
cpe:/a:oracle:application_server_web_cache:2.0.0.3Oracle Oracle9iAS Web Cache 2.0.0.3
cpe:/a:oracle:oracle9i:9.0
cpe:/a:oracle:application_server_web_cache:2.0.0.2Oracle Oracle9iAS Web Cache 2.0.0.2
cpe:/a:oracle:oracle8i:8.1.7

- OVAL (用于检测的技术细节)

未找到相关OVAL定义

- 官方数据库链接

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2002-0560
(官方数据源) MITRE
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2002-0560
(官方数据源) NVD
http://www.cnnvd.org.cn/vulnerability/show/cv_cnnvdid/CNNVD-200207-023
(官方数据源) CNNVD

- 其它链接及资源

http://marc.info/?l=bugtraq&m=101301813117562&w=2
(UNKNOWN)  BUGTRAQ  20020206 Hackproofing Oracle Application Server paper
http://otn.oracle.com/deploy/security/pdf/ias_modplsql_alert.pdf
(VENDOR_ADVISORY)  CONFIRM  http://otn.oracle.com/deploy/security/pdf/ias_modplsql_alert.pdf
http://www.cert.org/advisories/CA-2002-08.html
(VENDOR_ADVISORY)  CERT  CA-2002-08
http://www.kb.cert.org/vuls/id/307835
(UNKNOWN)  CERT-VN  VU#307835
http://www.nextgenss.com/papers/hpoas.pdf
(UNKNOWN)  MISC  http://www.nextgenss.com/papers/hpoas.pdf
http://www.securityfocus.com/bid/4294
(VENDOR_ADVISORY)  BID  4294

- 漏洞信息

Oracle 9iAS PL/SQL OWA_UTIL非授权存储过程访问漏洞
中危 配置错误
2002-07-03 00:00:00 2005-10-20 00:00:00
远程  
        
        PL/SQL是Oracle对结构化查询语言的一种基于过程的扩展,PL/SQL基本上就是数据库中的存储过程,这些过程可以被外界调用。
        PL/SQL实现上存在问题,远程攻击者可以通过Web对这某些存储过程进行调用。
        远程攻击者可以通过匿名Web访问调用PL/SQL的OWA_UTIL存储过程,这可能会导致远程攻击者由此得到许多相关的敏感信息,也可能潜在地导致SQL查询命令的执行。
        

- 公告与补丁

        临时解决方法:
        如果您不能立刻安装补丁或者升级,Oracle建议您采取以下措施以降低威胁:
        * 在配置文件"/Apache/modplsql/cfg/wdbsvr.app"加入exclusion_list参数进行访问控制:
        exclusion_list= account*, sys.*, dbms_*, owa*
        厂商补丁:
        Oracle
        ------
        目前厂商已经提供了解决方案以修复这个安全问题,请到厂商的主页下载:
        
        http://otn.oracle.com/deploy/security/pdf/ias_modplsql_alert.pdf

- 漏洞信息

9471
Oracle Application Server PL/SQL Module OWA_UTIL Stored Procedures Information Disclosure
Information Disclosure
Loss of Confidentiality
Exploit Public

- 漏洞描述

- 时间线

2002-02-06 Unknow
Unknow Unknow

- 解决方案

Products

Unknown or Incomplete

- 相关参考

- 漏洞作者

Unknown or Incomplete

- 漏洞信息

Oracle 9iAS PL/SQL OWA_UTIL Unauthorized Stored Procedure Access Vulnerability
Configuration Error 4294
Yes No
2002-03-15 12:00:00 2009-07-11 11:56:00
Credited to David Litchfield.

- 受影响的程序版本

Oracle Oracle9i Application Server
- Compaq Tru64 5.1
- Compaq Tru64 5.0 f
- Compaq Tru64 5.0 a
- Compaq Tru64 5.0
- Compaq Tru64 4.0 g
- HP HP-UX 11.11
- HP HP-UX 11.0 4
- HP HP-UX 11.0
- HP HP-UX 10.34
- HP HP-UX 10.30
- HP HP-UX 10.26
- HP HP-UX 10.20
- HP HP-UX 10.16
- HP HP-UX 10.10
- HP HP-UX 10.9
- HP HP-UX 10.8
- HP HP-UX 10.1 0
- HP HP-UX 10.0 1
- HP HP-UX 10.0
- HP HP-UX 9.10
- HP HP-UX 9.9
- HP HP-UX 9.8
- HP HP-UX 9.7
- HP HP-UX 9.6
- HP HP-UX 9.5
- HP HP-UX 9.4
- HP HP-UX 9.3
- HP HP-UX 9.1
- HP HP-UX 9.0
- HP HP-UX 8.9
- HP HP-UX 8.8
- HP HP-UX 8.7
- HP HP-UX 8.6
- HP HP-UX 8.5
- HP HP-UX 8.4
- HP HP-UX 8.2
- HP HP-UX 8.1
- HP HP-UX 8.0
- HP HP-UX 7.8
- HP HP-UX 7.6
- HP HP-UX 7.4
- HP HP-UX 7.2
- HP HP-UX 7.0
- IBM AIX 4.3.3
- IBM AIX 4.3.2
- IBM AIX 4.3.1
- IBM AIX 4.3
- IBM AIX 4.2.1
- IBM AIX 4.2
- IBM AIX 4.1.5
- IBM AIX 4.1.4
- IBM AIX 4.1.3
- IBM AIX 4.1.2
- IBM AIX 4.1.1
- IBM AIX 4.1
- IBM AIX 4.0
- IBM AIX 3.2.5
- IBM AIX 3.2.4
- IBM AIX 3.2
- IBM AIX 3.1
- IBM AIX 3.0 x
- IBM AIX 2.2.1
- IBM AIX 1.3
- IBM AIX 1.2.1
- IBM AIX 5.1
- Microsoft Windows 2000 Professional SP2
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0
- Sun Solaris 2.5.1 _x86
- Sun Solaris 2.5.1
- Sun Solaris 1.1.4 -JL
- Sun Solaris 1.1.4
- Sun Solaris 1.1.3 _U1
- Sun Solaris 1.1.3
- Sun Solaris 1.1.2
- Sun Solaris 1.1.1
- Sun Solaris 8_x86
- Sun Solaris 8_sparc
- Sun Solaris 7.0_x86
- Sun Solaris 7.0
- Sun Solaris 2.6_x86HW5/98
- Sun Solaris 2.6_x86HW3/98
- Sun Solaris 2.6_x86
- Sun Solaris 2.6 HW5/98
- Sun Solaris 2.6 HW3/98
- Sun Solaris 2.6
- Sun Solaris 2.5_x86
- Sun Solaris 2.5
- Sun Solaris 2.4_x86
- Sun Solaris 2.4
- Sun Solaris 2.3
- Sun Solaris 2.2
- Sun Solaris 2.1
- Sun Solaris 2.0
- Sun Solaris 1.2
- Sun Solaris 1.1

- 漏洞讨论

The OWA_UTIL PL/SQL application exposes a number of stored procedures, which may be accessible anonymously via the web.

These stored procedures may disclose a great deal of sensitive information to a web user who accesses them. The potential for execution of arbitrary SQL queries also exists.

- 漏洞利用

There is no exploit code required.

- 解决方案

Currently the SecurityFocus staff are not aware of any vendor-supplied patches for this issue. If you feel we are in error or are aware of more recent information, please mail us at: vuldb@securityfocus.com <mailto:vuldb@securityfocus.com>.

- 相关参考

 

 

关于SCAP中文社区

SCAP中文社区是国内第一个以SCAP为主题的中文开放社区。了解更多信息,请查阅[关于本站]

版权声明

CVE/CWE/OVAL均为MITRE公司的注册商标,它们的官方数据源均保存在MITRE公司的相关网站