Une faille des bases de données d’Oracle dévoilée par inadvertance

Oracle prépare actuellement un correctif pour ses bases de données après avoir involontairement dévoilé l’existence d’une faille de ses produits, la semaine dernière, sur sa base de connaissances Metalink.

Cette publication a suscité l’inquiétude au sein de la communauté car des pirates auraient pu utiliser ces informations pour exploiter la vulnérabilité. D’autant plus que, par le passé, le spécialiste des bases de données s’est montré très critique vis-à-vis des développeurs qui divulguent des informations concernant des failles avant que l’éditeur du logiciel n’ait le temps de réagir en proposant un correctif.

« Dans le cas présent, Oracle a fourni sur Metalink non seulement des informations détaillées sur la vulnérabilité mais également un code d’exploitation opérationnel », souligne Red Database Security, un fournisseur de services de sécurité spécialisé dans les produits Oracle. Le fournisseur de bases de données a depuis retiré les informations de son site Web et n’avait pas, à l’heure de la publication de cet article, répondu aux demandes de renseignements complémentaires de Vnunet.com.

Des privilèges d’administrateur pour les utilisateurs

Les bases de données concernées par cette faille sont les versions 9.1.0.0 à 10.2.0.3, toutes plates-formes confondues. La vulnérabilité autorise des utilisateurs disposant seulement de privilèges de type « SELECT » à insérer, mettre à jour ou supprimer des données. Pour les applications propriétaires, cela signifie que les utilisateurs lambda peuvent concrètement modifier des données et, dans certains cas, s’octroyer des privilèges d’administrateur et changer ainsi des mots de passe, prévient Red Database Security.

Ce dernier considère cette vulnérabilité « à haut risque » puisqu’elle n’est actuellement pas corrigée et que les détails de son exploitation ont été rendus disponibles. De son côté, Secunia, site spécialisé dans la sécurité, estime la faille « moins critique » dans la mesure où il est nécessaire d’avoir accès au système pour l’exploiter.

(Traduction d’un article de VNUnet.com en date du 12 avril 2006)