English

SE-2014-01 Biuletyn prasowy

16 Czerwca 2014, Poznań, Polska

Security Explorations, polska firma prowadząca zaawansowane badania z zakresu bezpieczeństwa oprogramowania i sprzętu, odkryła wiele błędów bezpieczeństwa w implementacji maszyny wirtualnej Java będącej integralną częścią oprogramowania bazy danych firmy Oracle (Oracle Database) [1].

Odkryte słabości pogwałcają wiele z reguł tworzenia bezpiecznego kodu w języku programowania Java [2]. Większość z nich demonstruje dobrze znany problem związany z bezpieczeństwem środowiska Java SE. Pośród 20 zidentyfikowanych błędów znajdują się takie które umożliwiają obejście określonych mechanizmów bezpieczeństwa Java lub ułatwiające wykonanie dowolnego kodu w języku programowania Java na serwerze bazy danych Oracle bez konieczności posiadania stosownych przywilejów.

Security Explorations opracowało stabilne programy testujące w celu ilustracji wszystkich odkrytych błędów. W skład nich wchodzi 8 programów implementujących 3 różne techniki umożliwiające zwiększenie uprawnień użytkownika i zdobycie przywilejów administratora w środowisku docelowej bazy danych.

Złośliwy użytkownik z minimum uprawnień wymaganych do połączenia i zalogowania się do bazy danych Oracle (jedynie z uprawnieniami CREATE SESSION) może z powodzeniem przełamać bezpieczeństwo oprogramowania, które wg prezesa firmy Oracle "nie zostało przez nikogo złamane przez kilka ostatnich dekad" i które jest "tak bezpieczne, że są ludzie którzy na to narzekają" [3].

Następujące wersje oprogramowania bazy danych Oracle zostały zweryfikowane jako podatne na wszystkie z 20 odkrytych błędów:

  • Oracle Database 11g Release 2 (11.2.0.1.0) dla Microsoft Windows x64
  • Oracle Database 11g Release 2 (11.2.0.4.5) Patch Bundle 18590877 dla Microsoft Windows x64
  • Oracle Database 12c Release 1 (12.1.0.1.0) dla Microsoft Windows x64
  • Oracle Database 12c Release 1 (12.1.0.1.9) Bundle Patch 18724015 dla Microsoft Windows x64

16 czerwca 2014, Security Explorations przesłało firmie Oracle raport techniczny zawierający szczegółowe informacje o odkrytych słabościach. Wraz z nim, firma otrzymała również wersje źródłowe i binarne 8 programów testujących, które ilustrują wszystkie zidentyfikowane słabości oraz techniki eksploatacji.

Referencje:

  1. [1] Oracle Database (http://www.oracle.com/database)
  2. [2] Secure Coding Guidelines for the Java Programming Language, Version 4.0
    (http://www.oracle.com/technetwork/java/seccodeguide-139067.html)
  3. [3] Oracle's Ellison downplays threat of NSA database snooping
    (http://www.reuters.com/article/2014/01/30/us-oracle-nsa-idUSBREA0T05U20140130)


Copyright 2008-2017 Security Explorations. All Rights Reserved.