@mik-a-el

В рамках проходящей в США технической конференции Black Hat ИТ-эксперты компании NGS Consulting сообщили о наличии критически опасной уязвимости в популярной СУБД Oracle 11g. Обнаруженная уязвимость предоставляет атакующему полный неограниченный удаленный доступ к базе.

Девид Литчфилд, технический специалист NGS, в рамках своего доклада продемонстрировал возможность поднятия привилегий в Oracle 11g для получения полного контроля над данными. По словам эксперта, на поиск уязвимостей в программном обеспечении его подвигли слова главы Oracle Ларри Эллисона о том, что их база данных "невзламываемая".

Литчфилд говорит, что обнаруженный его компанией баг эксплуатирует виртуальную машину Java, работающую вместе с СУБД. Для того, чтобы использовать эксплоит, у пользователя должна быть хоть какая-то учетная запись на сервере баз данных и через существующие для него легитимные привилегии он может выдать сам себе повышенные права на доступ к данным.

В своей демонстрации Литчфилд показал возможность обхода системы безопасности Oracle Label Security, применяемой для управления принудительным доступом к информации. По словам эксперта, до тех пор, пока Oracle не закрыла данную уязвимость клиентам компании следует уделить максимальное внимание публичным аккаунтам, а также некоторым Java-функциям.

cybersecurity.ru

1

@Laba

Про это ещё в 9-ке было (наверное, уже больше 4 лет как прошло). Если запущена java-машина, то про безопасность можно забыть.

0

@Lord_Voodoo

да мне еще в универе говорили, что виртуальная машина java - это дыра в безопасности, а нам уже все равно, мы на postgre переходим

0