Oracle 9i peut-être pas si incassable que ça
Les services marketing d’Oracle vont devoir changer de slogan ou trouver une nouvelle définition au mot « unbreakable ». Contrairement à ce qu’affirmait son Pdg lors de son lancement, Oracle 9i est bien « cassable ». l’expert en sécurité David Litchfield le démontrera en février prochain à l’occasion de la Blackhat Windows 2002 Security.
Incassable (unbreakable)! C’est avec cet argument crucial que le Pdg d’Oracle, Larry Ellison, présentait la nouvelle version de la base Oracle 9i au Comdex en novembre dernier (voir édition du 14 novembre 2001). C’est également sur le thème de la sécurité que jouent essentiellement les services marketing de la société et la publicité pour assurer la commercialisation du produit. Malheureusement pour Oracle (comme pour beaucoup d’autres qu’il est inutile de citer), le beau discours est encore très éloigné de la réalité.
David Litchfield, expert en sécurité et cofondateur de la société NGSSoftware, affirme avoir découvert pas moins de 8 failles dans Oracle 9i. Dès la mi-décembre, il mettait en évidence la possibilité d’exploiter le traditionnel débordement de la mémoire tampon (buffer overflow) pour prendre le contrôle du serveur à distance. Deux autres failles mineures étaient révélées par les sociétés Pentest-Limited et eEye Digital Security. Trois failles corrigées depuis par Oracle avec la version 9iAS.
Mais, si l’on en croit sa page Web, David Litchfield a découvert 7 autres failles qui vont du buffer overflow à des défauts dans la prise de contrôle à distance ou la traduction de pages JSP. L’expert se garde pour le moment de détailler ses travaux qu’il présentera à la Blackhat Windows 2002 Security Briefing en février prochain. Une conférence à laquelle Larry Ellison assistera probablement avec intérêt.