一名安全研究人員警告說(shuō)，一種新的攻擊技巧增加了Oracle數(shù)據(jù)庫(kù)軟件中常見漏洞的風(fēng)險(xiǎn)。 過(guò)去，人們一般認(rèn)為攻擊者需要取得數(shù)據(jù)庫(kù)的高級(jí)權(quán)限才能利用所謂的PL SQL注入脆弱性。不過(guò)NGS Software信息安全專家David Litchfield周四在Black Hat DC大會(huì)上說(shuō)，一種新的攻擊技巧改變了這一事實(shí)。 “攻擊者只要具備最低權(quán)限，就可以用這種技巧完全控制數(shù)據(jù)庫(kù)服務(wù)器，”Litchfield在接受訪問(wèn)時(shí)說(shuō)：“你可以用它來(lái)入侵許多你過(guò)去認(rèn)為并不重要的漏洞。” 長(zhǎng)期研究Oracle軟件的Litchfied于上周在Black Hat DC大會(huì)上公開發(fā)表一篇論文，具體討論這種他稱為“指針注入”（cursor injection）的技巧，利用該技巧的攻擊代碼實(shí)例已經(jīng)出現(xiàn)，Litchfield說(shuō)。 Oracle也發(fā)出聲明指出，該公司已注重到這種新的攻擊手段。 “NGS Software的‘Cursor Injection’論文說(shuō)明了一種可能協(xié)助攻擊者利用SQL注入脆弱性的技巧，”這家數(shù)據(jù)庫(kù)開發(fā)商稱。Oracle強(qiáng)烈要求客戶安裝它提供的補(bǔ)丁修復(fù)已知的漏洞。 過(guò)去，PL SQL注入漏洞通常要求攻擊者具有數(shù)據(jù)庫(kù)的“建立程序”(create procedure)權(quán)限，大多數(shù)用戶都沒(méi)有這種權(quán)限。而使用指針注入技巧，任何人只要連接數(shù)據(jù)庫(kù)就可以利用這種漏洞，Litchfield說(shuō)。 “它通過(guò)將預(yù)先編譯的指針注入易受攻擊的PL SQL對(duì)象中達(dá)到攻擊目的，”Litchfield在論文中指出，“本研究目的在于說(shuō)明，所有SQL注入漏洞不需要任何系統(tǒng)權(quán)限（‘建立會(huì)話’權(quán)限除外）就可以加以充分利用。” 以后，Oracle不應(yīng)再把權(quán)限要求作為延遲修復(fù)PL SQL漏洞的理由，Litchfield說(shuō)。Oracle的客戶可能會(huì)因延遲安裝補(bǔ)丁而身陷危險(xiǎn)之中，他說(shuō)。“現(xiàn)在，不給這個(gè)非凡的漏洞打補(bǔ)丁的借口已經(jīng)不再存在，”Litchfield說(shuō)。 盡管Litchfield認(rèn)為他的發(fā)現(xiàn)增加了許多Oracle脆弱性的嚴(yán)重程度，但另一位聞名數(shù)據(jù)庫(kù)安全研究員并不同意他的觀點(diǎn)。 “Davids指出的例子僅適用于某名用戶在一個(gè)高權(quán)限的賬戶中使用非凡的權(quán)限和動(dòng)態(tài)語(yǔ)句建立一個(gè)易受攻擊的數(shù)據(jù)包的情況，”治理德國(guó)Red Database Security公司的Alexander Kornbrust指出：“我在審查PL SQL源代碼時(shí)從未發(fā)現(xiàn)這種情況，而且我還檢查了許多用戶和公司的PL SQL源代碼。” Oracle幾年來(lái)常和安全研究人員發(fā)生摩擦。不過(guò)，公司已經(jīng)做出改變，愿意老實(shí)面對(duì)產(chǎn)品安全流程中存在的問(wèn)題。一月，Oracle開始提前通知每季的補(bǔ)丁發(fā)布情況。去年十月，該公司首次在通報(bào)中加入嚴(yán)重等級(jí)。