甲骨文不小心自曝数据库软件漏洞的攻击代码

　　【eNet硅谷动力消息】美国东部时间4月11日（北京时间4月12日）消息：甲骨文公司似乎在无意中泄露出了一些关于其数据库软件中的某个未修复的安全漏洞的详细资料，其中还包括一个可以用来利用该漏洞发起攻击的代码样品。有关该漏洞的详细资料在上个星期四被公布在甲骨文公司Metalink客户支持门户网页上。

　　德国Neunkirchen市的Red Database Security公司的安全研究员Alexander Kornbrust在星期一早上给电子邮件中的所有联系人都发了一封电子邮件询问事态的发展，因此整个安全界都知道了这件事。Kornbrust说，甲骨文公司在星期五的时候在被告知那个Metalink注解与安全隐患有关之后，它就将相关资料从网上撤了下来。

　　甲骨文公司在星期一的时候说，它计划解决这个问题。 甲骨文公司女发言人在星期一说：“甲骨文公司现在已经获悉那些完全公开的资料与甲骨文Database 9i和Database 10g中的某个安全漏洞有关，我们计划在最近的季度重要补丁更新的时候向客户们提供一个补丁文件以修复这个漏洞。”

　　甲骨文公司下一次安全更新的日期是4月18日。

　　要想利用这个漏洞发起攻击，攻击者首先必须拥有甲骨文数据库的帐户，因此这个问题不大可能被攻击者通过网络利用。但是，通常只能读取而不能修改数据库资料的数据库用户可以建立一个特殊的查询来获得修改数据库资料的权力。

　　从9.2.0.0版到10.2.0.3版甲骨文公司数据库软件，不管运行在哪种

　　Kornbrust认为甲骨文公司在四月份的安全更新中不一定能够修复这个漏洞，因此他已经发表了一些针对这个问题的应对措施。这些应对措施的网址是：http:∥www.red-database-security.com/advisory/oracle_modify_data_via_views.html。

　　他说他已经决定将有关这个问题的所有资料公诸于众，因为已经有很多人看过了甲骨文公司的Metalink注解，给其他甲骨文用户带来了一定的威胁。

　　比较讽刺的是，这个未修复漏洞的攻击代码的初始来源正是甲骨文公司自己。Kornbrust说：“这次甲骨文公司不能再责备安全研究员们了。”

　　甲骨文公司没有解释它是如何会不小心地泄露这些敏感信息的，但是Kornbrust猜测它是由于它们的支持组织的错误造成的。他说：“我认为这也许是甲骨文公司支持组织中的某个人发现了这个漏洞但是他并不知道这个漏洞与安全有关。 我想这个可怜的家伙原本是为了帮助其他人才把这些资料公布出来的。”

　　作者：王飞