| 취약점ID |
25155 |
| 위험도 |
40 |
| 포트 |
1521, ... |
| 프로토콜 |
TCP |
| 분류 |
DB |
| 상세설명 |
해당 시스템의 ORACLE 서버는 PASSWORD_LIFE_TIME 값이 보안상 안전하지 않다. PASSWORD_LIFE_TIME 값은 암호를 변경해야 하는 최대 실행 주기를 나타낸다. 이를 UNLIMITED로 설정되었거나 너무 긴 시간을 설정하게 되면 동일 패스워드의 장기간 사용으로 인해 패스워드의 노출 가능성이 증가한다. 그렇기 때문에 PASSWORD_LIFE_TIME의 값을 적절히 설정하여 주기적으로 패스워드가 교체되도록 해야 한다.
* 영향을 받는 플랫폼:
UNIX any version
Linux any version
Microsoft Windows any version |
| 해결책 |
다음과 같이 PASSWORD_LIFE_TIME 프로파일 파라미터의 값을 60 이하로 설정한다.
SQL> ALTER PROFILE (DEFAULT or 프로파일명) LIMIT PASSWORD_LIFE_TIME 60;
특정 사용자에게 적용 방법:
SQL> CREATE PROFILE profile_new LIMIT
FAILED_LOGIN_ATTEMPTS 3 (패스워드 실패 3번 까지만 가능)
PASSWORD_LIFE_TIME 30 (30일 동안만 패스워드 사용 가능)
PASSWORD_REUSE_TIME 30 (사용한 패스워드 30일 후부터 재사용 가능)
PASSWORD_VERIFY_FUNCTION verify_function
PASSWORD_GRACE_TIME 5 ; (life time이 끝나고 5일 동안 메시지를 보여줌)
SQL> ALTER USER <user_name> PROFILE profile_new; |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
