| 취약점ID |
25025 |
| 위험도 |
30 |
| 포트 |
1521 |
| 프로토콜 |
TCP |
| 분류 |
DB |
| 상세설명 |
해당 Oracle9i 데이터베이스 서버 Listener는 Debug 요청들을 통한 서비스거부 취약점을 가지고 있다.
SQL*NET Listener 프로세스는 클라이언트로부터 Oracle 데이터베이스로의 접속들을 받아들이고 관리해주는 서버 편의 프로그램이다. Listener는 Listener를 원격으로 관리할 수 있는 설비를 제공한다. 이것은 원격지의 사용자들이 Listener에 대해 STOP, RELOAD, 그리고 SET LOG_FILE과 같은 명령들을 실행시킬 수 있도록 해 준다. 이 설비는 매우 위험해서 Listener 서비스에 반드시 패스워드를 설정해 놓아야 한다.
여기에는 "debug" 라는 Listener 프로세스에 공식화되지 않은 명령이 있다. 다음 Listener 명령 문자열을 Listener 서비스에 보내면 Listener가 크래쉬를 일으켜 데이터베이스에 접속할 수 없게 한다.
(DESCRIPTION=(CONNECT_DATA=((PROGRAM=)(USER=))(COMMAND=debug)(ARGUMENTS=4)(SERVICE=REMOTE)(VERSION=13)(VALUE=0)))
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 Oracle Listener의 버전정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다.
* 영향을 받는 플랫폼:
Oracle9i Database Server 9.0.1.4 이전의 9.0.x
Oracle9i Database Server 9.2.0.2 이전의 9.2.x
UNIX/Linux 모든 버전
Windows NT/2000 모든 버전 |
| 해결책 |
등록된 고객들이 이용 가능한 Oracle Metalink 웹 사이트, http://metalink.oracle.com 에서 시스템에 적절한 패치를 구하여 적용하여야 한다. 패치는 버그 번호 2467947로 찾을 수 있다. |
| 관련 URL |
CVE-2002-0856 (CVE) |
| 관련 URL |
5457 (SecurityFocus) |
| 관련 URL |
9237 (ISS) |
|
