发布日期：2008-04-10
更新日期：2008-04-17

受影响系统：

Oracle Application Server 9.0.4.3
Oracle Application Server 10.1.3.3.0
Oracle Application Server 10.1.3.1.0
Oracle Application Server 10.1.2.2.0
Oracle Application Server 10.1.2.1.0
Oracle Application Server 10.1.2.0.2
Oracle E-Business Suite 12.0.4
Oracle E-Business Suite 11.5.10.2
Oracle Collaboration Suite 10.1.2
Oracle Database 9.2.0.8DV
Oracle Database 9.2.0.8
Oracle Database 11.1.0.6    
Oracle Database 10.2.0.3
Oracle Database 10.2.0.2
Oracle Database 10.1.0.5
Oracle PeopleSoft Enterprise PeopleTools 8.49.09
Oracle PeopleSoft Enterprise PeopleTools 8.48.16
Oracle PeopleSoft Enterprise PeopleTools 8.22.19
Oracle PeopleSoft Enterprise HCM 9.0
Oracle PeopleSoft Enterprise HCM 8.9
Oracle PeopleSoft Enterprise HCM 8.8 SP1
Oracle Siebel SimBuilder 7.8.5
Oracle Siebel SimBuilder 7.8.2

描述：

---

BUGTRAQ  ID: 28725
CVE(CAN) ID: CVE-2008-1811,CVE-2008-1812,CVE-2008-1813,CVE-2008-1814,CVE-2008-1815,CVE-2008-1816,CVE-2008-1817,CVE-2008-1818,CVE-2008-1819,CVE-2008-1820,CVE-2008-1821,CVE-2008-1822,CVE-2008-1823,CVE-2008-1824,CVE-2008-1825,CVE-2008-1826,CVE-2008-1827,CVE-2008-1828,CVE-2008-1829,CVE-2008-1830,CVE-2008-1831

Oracle Database是一款商业性质大型数据库系统。

Oracle发布了2008年4月的紧急补丁更新公告，修复了多个Oracle产品中的多个漏洞。这些漏洞影响Oracle产品的所有安全属性，可导致本地和远程的威胁。其中一些漏洞可能需要各种级别的授权，但也有些不需要任何授权。最严重的漏洞可能导致完全入侵数据库系统。目前已知的漏洞包括：

没有正确地过滤对SDO_GEOM、SDO_IDX和SDO_UTIL软件包中某些参数的输入便在SQL查询中使用，这允许远程攻击者执行SQL注入攻击。

DBMS_STATS_INTERNAL软件包将OUTLN口令重置为默认值，这允许OUTLN用户在创建具体视图期间获得DBA权限。

SYS.DBMS_AQJMS_INTERNAL软件包的AQ$_REGISTER和AQ$_UNREGISTER过程、SYS.KUPF$FILE_INT软件包的GET_FULL_FILENAME过程存在缓冲区溢出漏洞。

<*来源：Cesar Cerrudo （cesarc56@yahoo.com）
        Esteban Martinez Fayo
        Joxean Koret （joxeankoret@yahoo.es）
        Alexander Kornbrust （ak@red-database-security.com）
        Paul M. Wright
  
  链接：http://secunia.com/advisories/23794
        http://marc.info/?l=bugtraq&m=120836582322689&w=2
        http://marc.info/?l=bugtraq&m=120835756303693&w=2
        http://marc.info/?l=bugtraq&m=120836113512034&w=2
        http://marc.info/?l=bugtraq&m=120836077410974&w=2
        http://marc.info/?l=bugtraq&m=120966802216904&w=2
        http://marc.info/?l=bugtraq&m=120966869418368&w=2
        http://marc.info/?l=bugtraq&m=120966881818660&w=2
        http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpuapr2008.html?_template=/o
        http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=690
*>

建议：

---

厂商补丁：

Oracle
------
Oracle已经为此发布了一个安全公告（cpuapr2008）以及相应补丁:
cpuapr2008：Oracle Critical Patch Update Advisory - April 2008
链接：http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpuapr2008.html?_template=/o

浏览次数：3830
严重程度：0（网友投票）