科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道甲骨文11g数据库零日攻击可完全攻破系统

甲骨文11g数据库零日攻击可完全攻破系统

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

一位知名的安全研究人员前日展示了如何利用零日攻击攻破甲骨文11g数据库的安全防护,并从获得完全的控制权。Litchfield建议,在甲骨文修补他展示的零日攻击漏洞之前,甲骨文11g的管理员们撤回对基于Java的特定功能的一些公共访问权限。

作者:范范 来源:网界网 2010年2月5日

关键字: 安全

  • 评论
  • 分享微博
  • 分享邮件

  一位知名的安全研究人员前日展示了如何利用零日攻击攻破甲骨文11g数据库的安全防护,并从获得完全的控制权。

  NGS 咨询的研究员David Litchfield演示了黑客如何突破安全防御以特权接管甲骨文 11g的完全控制权限,并阐述了如何绕过甲骨文标签安全设置对信息的强制访问控制权。与此同时,Litchfield也宣布,这是他在NGS任职的最后一天,他正在考虑将自己的研究重心转向计算机取证方面。

  作为安全领域内的一名资深人士,Litchfield 称:“当从听说了甲骨文的首席执行官埃里森吹嘘他的数据库‘牢不可破’后,我感到很不快。” Litchfield表示,他与甲骨文关系交恶已经有很长一段时间了。

  Litchfield的最新报告显示,由于Java已可在甲骨文11g第2版中执行的原因,导致数据库中存在一个过度纵容的默认授权,这使一个低权限用户可以自己随意修改授予权限。在演示的甲骨文11g企业版中,Litchfield演示了如何执行,导致自己的用户授予系统权限命令得到“对数据库的完全控制。”Litchfield也显示了如何能够绕过甲骨文标签安全用于管理强制访问在不同安全级别的信息的手段。

  Litchfield建议,在甲骨文修补他展示的零日攻击漏洞之前,甲骨文11g的管理员们撤回对基于Java的特定功能的一些公共访问权限。他表示,他预计甲骨文马上就会发布针对性的修补程序,而他也打算针对此漏洞公布自己的报告。

  Litchfield说,他认为对目前版本的数据库,甲骨文完全可以得到“B +”的安全成绩,虽然Litchfield对于新版数据库的改进给予了肯定,但是他也批评甲骨文在设计和修改产品的阶段没有发现这些问题。Litchfield指出,甲骨文在自己的产品交付后似乎过于依赖安全工具来查找问题。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章