Svakhet i Microsoft common controls gjelder nå også for MSSQL 2008 R2 SP1. TNS poison svakhet i Oracle database server som ble kjent for noen dager siden viser seg nå å være en 0-day.
Microsoft har oppdatert MS12-027 til å også gjelde MSSQL 2008 R2 SP1
| Denne svakheten ble fikset av Microsoft under deres månedlige oppdatering og omhandler en svakhet i Microsoft common controls. Vi omtalte også denne i nyhetsbrevet vårt i går da det hadde blitt kjent at det nå også var blitt laget en metasploit modul som utnyttet denne. Microsoft har nå altså oppdatert sin advisory til å også gjelde MSSQL 2008 R2 SP1. | ||||
| Referanser | ||||
|---|---|---|---|---|
| http://technet.microsoft.com/en-us/security/bulletin/ms12-027 |
0-day svakhet i Oracles TNS listener
| Svakheten omhandler måten Oracle sin klient og databaseserver kommuniserer sammen på. Dette gjøres via en komponent Oracle kaller for TNS listener. En angriper kan ved å utnytte svakheten fungere som en "man-in-the-middle" i trafikken mellom Oracles klient og server. Dette utføres ved at angriperen først setter opp en server med samme databasenavn som den databasen som allerede er registrert. Deretter sender den spesielt utformede pakker mot TNS for å registrere seg. Merk at det ikke kreves noen form for autentisering for å få dette til. Når det er to databaseservere med samme navn registrert vil TNS se på den nye databaseserveren som en del av et cluster og det vil bli satt opp lastbalansering mellom dem. Det vil si at klientene som kobler seg til vil sende trafikken til begge de registrerte databaseserverne. Angriperen har da mulighet til å injecte kommandoer inn mot den virkelige databasen ved å bruke tilkoblingene fra klientene som kobler til den, stoppe alle kommandoer den mottar ved å la være å rute tilkoblinger videre, eller rute dem videre og se på trafikken som går gjennom. Personen som har publisert denne svakheten skal ha kjent til den i 13 år. Oracle er klar over at den eksisterer, men har foreløpig sagt at denne kun vil bli fikset i fremtidige versjoner av Oracle. Grunnen til dette er at de frykter at en eventuell patch kan skape problemer. |
||||
| Anbefaling | ||||
|---|---|---|---|---|
| Se vedlagte lenker for eventuelle workarounds. | ||||
| Referanser | ||||
| http://seclists.org/fulldisclosure/2012/Apr/343 http://seclists.org/fulldisclosure/2012/Apr/204 |
||||