Vlastní postup probíhá jako eskalace přístupových práv a Litchfield přesně ukázal příkazy, jimiž lze celý postup provést. Zranitelnosti útočníkovi také umožňují obejít hned několik dodatečných zabezpečovacích vrstev/mechanismů, např. Oracle Label Security.
Chyba je důsledkem implementace Javy v Oracle 11g Release 2. Zneužití ovšem vyžaduje mít předem alespoň nějaká práva, takže rizikem je v tomto případě hlavně vnitřní nepřítel ve firemní síti. Administrátoři mohou ještě před vydáním oficiální záplaty problém vyřešit tím, že všem uživatelům kromě sebe zakáží určité funkce založené na Javě (pokud je ovšem uživatelé nepotřebují k práci se samotnou aplikací).
Litchfield uvedl, že zabezpečení databázového serveru Oraclu se v poslední verzi zlepšilo, kritizoval ale firmu za to, že právě objevené chyby nebyly odhaleny už při vývoji a interním testování produktu.
PŘEDPLATNÉ
ČLÁNKY DO MAILU