LINUX.ORG.RU
Новости — Безопасность  

Local root в продуктах Oracle (RDBMS, IAs и т.п.)


0

0
В ряде продуктов Oracle, к примеру, Oracle 8i Linux Platform, Oracle 9i Linux Platform, Oracle 8i HP-UX Platform ,Oracle 9i Solaris Platform , Oracle IAS 9.0.2.0.1 with patchset v9.0.2.3, можно получить повышение привилегий от локального пользователя-владельца программы (обычно это oracle, ias, iasr2, iasdb) до root.

Причина -- как очень часто -- suid-программы. Эксплойт и workaround прилагаются.

Официальный ответ Oracle:

"Oracle believes that only trusted users should have access to the local iasdb user account".

Перевод: "Oracle считает, что доступ к локальному аккаунту iasdb должны иметь только доверенные пользователи".

>>> Подробности

★★★★★

Проверено: l-xoid ()
← Вышел Athene Desktop Edition 4.0
Java-сервер Apache (Geronimo) задерживается →
Я не стал в новости говорить отсебятину на тему, что Оракл не собирается исправлять проблему как положено, ограничившись отмазкой про человеческий фактор.
Obidos ★★★★★
() автор топика
Ответ на: комментарий от Sun-ch
Но почему, если можно что-то хорошее сделать в принципе (как например отсутствие SUID), то этого не делают? Распоясались огакулы, блин...
IMNSHO
()
Чего-то не врубаюсь, ну компилю so, дальше вероятно подсовываю через LD_LIBRARY_PATH, но как называть so, кого вызывать чтобы он это so подхватил ? Тем более как я понимаю мне нужно вопервых иметь shell на этом компе и иметь аккаунт в оракле... Кто расскажет по-подробней ?
anonymous
()
Ответ на: комментарий от anonymous
Не, ну вы че, прям как дети. оно ж унбрекабле :-)
anonymous
()
А я давно привык. Уже кажется что это было всегда и будет тоже.
SatanClaus ★★★
()
Это просто закон природы какой-то, всегда найдется стая мосек готовых облаять слона (Будь то Oracle, Sun или Red Hat). Сервер баз данных, это по определению, система в которой шелл должны иметь только root и dba. Им свои привелегии повышать некуда. А если вы на эту же машину пихаете почту, файловый сервер, каталоги пользователей... то работать вам с мусклем до пенсии. И вообще, я так понял речь идет исключительно об iAS который тоже должен быть вынесен. Чего хаять то саму СУБД?
anonymous
()
Ответ на: комментарий от Loremipsemdolorsitanametyaddayaddayadda
Просто об этом в других местах говорят.:)
KiloHertz
()
Ответ на: комментарий от anonymous
> Как юзать-то это ? > anonymous (*) (04.08.2004 2:54:03)

оракл юзают по разному :-)

anonymous
()
Ответ на: комментарий от anonymous
2anonymous (*) (04.08.2004 2:54:03)
>Как юзать-то это ?
А тебе зачем? :-)))
anonymous
()
PS:
Просьба к ссанычу: не надо рассказывать о своем анальном опыте !
anonymous
()
Ответ на: комментарий от anonymous
2anonymous (*) (04.08.2004 13:35:33)
>Да вот хочу попробывать дыру заюзать !
А Oracle тут причем?
>Подскажите как :)))
Природа подскажет %-)))
anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Вышел Athene Desktop Edition 4.0
Безопасность
Java-сервер Apache (Geronimo) задерживается →