PL/SQL Injection in Oracle Portal Demo Organization Chart
Vulnerabilidad de inyección PL/SQL en el portal demo de Oracle Organization Chart que permite comprometer la base de datos y el servidor.
Background
Web Organization Chart (versión Oracle) se conecta a bases de datos Oracle para extraer datos de tablas HR y convertir la salida en formato legible por Orgchart.
Description
La vulnerabilidad existe en el portal demo permitiendo la inyección de código SQL a través del parámetro "p_arg_values" cuando se utiliza HTTP versión 1.0 en la página PORTAL_DEMO.ORG_CHART.SHOW.
Business impact
Potencial para desfiguración pública, filtración de datos confidenciales y compromiso del servidor de base de datos, además de poder atacar sistemas cliente.
Systems affected
Oracle Portal Demo Organization Chart (página demo)
Solution
Todos los datos recibidos por la aplicación que pueden ser modificados por el usuario deben ser validados antes de realizar cualquier transacción. Corrección incluida en Critical Patch Update de Oracle.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.