| 취약점ID |
22045 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
해당 Oracle 9i Application 서버에 있는 PL/SQL 관리 페이지는 인증절차를 거치지 않는다. Oracle 9iAS를 디폴트로 설치했을 때, mod_plsql DAD Admin 인터페이스에 대한 액세스가 가능하여 아무나 인증없이 원격으로 PL/SQL DAD들을 관리하는 것이 가능하다.
이것은 공격자가 명령들을 수행하게 해 주지는 않지만 공격자가 SYS, SYSTEM 혹은 CTXSYS와 같은 디폴트 사용자의 로그인과 패스워드를 이용, 권한을 올려서 데이터베이스에 접속하는데 사용되는 사용자 ID와 패스워드 변경을 시도할 수 있도록 해 준다. 공격자들은 최종적으로 서비스가 거부되게 할 수 있다.
사이트가 취약한 상태로 있는지를 체크해 보기 위해서는 다음과 같이 테스트해 볼 수 있다:
http://oracleserver/pls/portal30/admin_/
* 참고 사이트:
http://www.securityfocus.com/bid/2150
http://www.iss.net/security_center/static/5818.php |
| 해결책 |
1. $ORACLE_HOME$\Apache\modplsql\cfg 디렉토리에 위치한 DAD 설정 파일 "wdbsvr.app" 를 편집한다.
2. 파일에서 "adminPath" 엔트리를 디폴트 경로가 아닌 사적인(private) 경로명으로 설정한다 (디폴트: /admin_/).
3. 다음과 같이 "administrators" 엔트리를 설정하여 관리자 페이지에 접근 권한을 갖는 사용자를 지정한다 (디폴트: all) :
administrators = user1,user2
4. 웹 서버를 재시작한다. |
| 관련 URL |
CVE-2000-1235 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
