KA-2003-07: Buffer Overflow in DIRECTORY parameter of Oracle9i/Database Server
----------------------

최초작성일 : 2003-02-19
갱  신  일 :
출      처 : NGG
작  성  자 : 강준구(jgkang@certcc.or.kr)

-- 제목 --------------
Oracle9i/Database Server의  DIRECTORY parameter 버퍼오버플로 취약점

-- 해당 시스템 --------
Oracle9i/Database Release 2
Oracle9i/Database Release 1
Oracle8i/Database Release v 8.1.7
Oracle8i/Database Release v 8.0.6

--영향-----------------
DIRECTORY parameter 버퍼오버플로를 이용하여 공격이 가능하다.

-- 설명-----------------------------
BFILENAME 함수의 DIRECTORY parameter에 잠재적 보안 취약점이 발견되었다.
공격자는 이 함수의 버퍼오버플로를 이용하여 침입할 수 있다.

-- 해결책--------------------------
패치를 하라.
패치 다운로드 위치 :
target=_blank>http://metalink.oracle.com

웹페이지에서 패치 버튼을 클릭하고 Bug Number 2642117을 입력하고
submit 버튼을 클릭하면 패치를 다운받을 수 있다.

------- 참조 사이트 --------------------------
target=_blank>http://otn.oracle.com/deploy/security/pdf/2003alert48.pdf

target=_blank>http://metalink.oracle.com

--------------------------------------------

넥스트 제너레이션 시큐리티 소프트웨어가 오라클의 최신 데이터베이스 제품에서 6개의 결함을 찾아냈다. 넥스트 제너레이션 시큐리티 소프트웨어는 지난 달 창궐한 슬래머 웜을 유발시킨 원초 버그를 발견했던 영국의 보안 업체다.

오라클은 이 6개의 결함에 대한 패치를 지난주 내놓았다. 6개중 4개는 대단히 치명적일 수 있는 결함이며 나머지 2개는 단지 문제의 소지를 담고 있는 정도인 것으로 전해지고 있다.

오라클의 최고보안책임자(CSO ; chief security officer)인 매리 앤 데이비슨은 오라클이 패치를 출시하는 방식을 체계화하려고 노력해왔으며 이는 고객들이 너무나 많은 패치들로 고민하는 현상을 덜어주기 위한 것이라고 밝혔다.

그녀는 "사용자들에게 패치를 설치하도록 하기 위해 항상 고민 중이다. 우리가 예전에 개정한 버그 대처 양식에 따르면 문제가 크거나 심각한 경우에는 미리 정해진 공식에 따르도록 되어 있다. 특정 중요도를 넘어서면 전체 패치 세트를 출시하기 전에 일단 일회용 패치를 내놓는다"라고 말했다.

그 공식은 해당 소프트웨어의 사용 빈도 및 결함으로 발생할 수 있는 영향 등을 포함하고 있다.

이번 결함에는 4개의 치명적인 버퍼 오버플로우가 포함되어 있는데, 그것들은 최신 오라클 9i 릴리즈 2 등 여러 오라클 데이터베이스 서버 소프트웨어 구성요소에서 발견됐다.

버퍼 오버플로우, 즉 오버런(overrun)은 어떤 애플리케이션이 메모리를 적절히 다루지 못하는 경우 발생할 수 있다. 해커는 버퍼 오버플로우를 발생시켜 애플리케이션의 실행 흐름 안으로 자신의 코드를 삽입할 수 있다. 이 4개의 결함은 각각 데이터베이스에 접근할 수 있는 악의적인 누군가에게 서버 통제권을 넘길 가능성을 가지고 있다.

나머지 2개의 결함은 오라클 서버의 다른 구성요소를 이용하며 서비스 거부 공격을 유발시킬 수 있다.

데이비슨은 “권고문 5개에 결함 6개라는 숫자가 무시무시하게 들릴 수도 있을 것이다. 그러나 오라클은 MS가 흔히 사용하는 책략인 하나의 통합된 경고를 발하는 것보다 각각에 대해 별도로 경고하는 편이 더 타당하다고 판단했다”라고 밝혔다.

그녀는 "우리는 게임을 하지 않을 것이다. 통합된 하나의 경고만을 낼 수도 있었지만 우리는 오히려 그것이 더 큰 혼란에 불러올 수 있다고 생각했다"라고 말했다. @