Исследовательская компания NGS Software и независимый специалист по безопасности
Девид Личфилд утверждают, что обнаружили новый класс уязвимостей, которым
подвержена СУБД Oracle.

Эксперты говорят, что уязвимости позволяют злоумышленнику запустить SQL-код,
который позволит похитить конфиденциальную информацию.

"Данный класс уязвимостей не является супер критическим, однако в большинстве
случаев успешная атака почти гарантирует хакеру получение данных, хранящихся
в СУБД", - говорит Личфилд.

Уязвимость проявляет себя тогда, когда какой-либо открытый курсор в СУБД
оперирует данными. В этот момент атакующий может использовать более ограниченные
привилегии для фактической работы с администраторскими привилегиями, что
позволит получить ему доступ к различным частям баз данных, изменять данные
или копировать их.

Уязвимость, поясняют специалисты, также возникает тогда, когда какое-либо
третье приложение или даже приложение самой Oracle не закрывает курсор после
работы.

"Если курсор был создан с более высокими привилегиями и остался открытым
в результате неверного кода или ошибки БД, то атакующий с более низкими
привилегиями может захватить контроль над данными курсора и управлять им",
- говорят в NGS.

По словам Личфилда, написание злонамеренного кода требует определенных
навыков, однако Oracle не сможет выпустить патч для данной уязвимости, так
как она касается самой сути работы БД.

Независимые эксперты рекомендуют всем пользователям еще раз тщательно пересмотреть
свои приложения и убедиться в том, что все открывающиеся курсоры немедленно
закрываются, а также рекомендуется поставить усиленные средства валидации
пользователе во время их работы с Oracle.

В самой корпорации Oracle пока отказались как-либо комментировать данную
новость.

Аналитики подчеркивают, что данная уязвимость не стала единственной и в
последнее время СУБД Oracle все чаще становится жертвой багов, которые в
тому же исправляются не так оперативно, как того хотели бы пользователи.
Компания Argeniss, занимающаяся аудитом безопасности, в начале декабря намерена
провести The Week of Oracle Database Bugs (http://www.argeniss.com/woodb.html),
где будет рассмотрены все последние уязвимости популярной СУБД.

Скачать более подробнее описание уязвимости можно с нашего сервера [ /upload/docs/cursor-snarfing.pdf ]