[深刻度]
　2


[問題]
潜在的なセキュリティの脆弱性が、Oracle Database Server のバイナリ
oracle, oracleO (Oはアルファベットのオー) に発見されました。この
バッファオーバーフローの脆弱性を突くことで、悪意のあるサーバマシンの
ユーザが任意のコードを oracle バイナリの所有者の権限でサーバマシン上で
実行することが可能になります。


[対象リリース]
- Oracle 9i Database Release2 (9.2.x)
- Oracle 9i Database Release1 (9.0.x)


[修正したリリース]
- Oracle Database 10g (10.1.0)


[修正したPSR]
- Oracle 9i Database Release2 9.2.0.5


[対象プラットフォーム]
全ての UNIX、Linux プラットフォーム


[発生条件]
悪意のあるユーザーが本現象を引き起こすためには、以下の条件を満たす必要が
あります。
・Oracle Database Server が実行されているマシン上の有効なユーザアカウント
  を使用できる


[回避策]
次に示す回避策が有効です

・"other"ユーザの実行権限を、次の手順で oracle バイナリから除去します
  # cd $ORACLE_HOME/bin
  # chmod o-x oracle oracleO
  -- oracleO の "O" はアルファベット大文字の"オー"です
・信頼できるユーザのみが、oracleとoracleOのバイナリと同じグループに属して
  いることを確認してください。
  それ以外の変更は必要ありません。例えば、問題のバイナリから setuid/setgid
  は取り除かないでください。

注意:この回避策により、潜在的なセキュリティの脆弱性から守られます。しかし、
Oracle NET の設定によってはユーザがデータベースに接続できなくなります。
以下の点にご注意ください
1. データベースサーバと同じマシン上から、リスナーを経由せずに接続を行う
   BEQ接続によるデータベースへの接続を行っている場合、OSグループの DBA グループ
   に属していないユーザはデータベースへ接続できなくなります。
2. 上記回避策の実行後、Oracle NET Listener を起動しているユーザが Oracle
   バイナリの所有者、または DBA グループに属していることを確認してください。
   典型的な設定では上の条件は満たしていますが、本来は Oracle NET Listener を
   実行するユーザが上の条件を満たしている必要はありません。

上記回避策を使用できない場合、速やかにパッチを適用することを推奨します。


[リスクを最小限に抑えるには]
上述の回避策を確認のうえ、以下のホワイトペーパのガイドに従ってください。
また、ファイアウオール等の設置について検討ください。
 (原文)
  http://otn.oracle.com/deploy/security/oracle9i/pdf/9ir2_checklist.pdf
   - Secure Configuration Guide for Oracle9iR2
  http://otn.oracle.com/deploy/security/oracle9i/pdf/9i_checklist.pdf
   - A Security Checklist for Oracle9i
 (日本語訳)
  http://otndnld.oracle.co.jp/idba/security/oracle9ir2/pdf/9ir2_checklist_new.pdf
   - Oracle9i R2 のためのセキュア・コンフィグレーション・ガイド
  http://otndnld.oracle.co.jp/deploy/security/pdf/9i_checklist_fixed.pdf 
   - Oracle9i のためのセキュリティ・チェックリスト


[パッチ情報]
現時点での個別パッチの作成状況を以下に記載します。
パッチの作成状況が変更次第、本KROWN上で案内します。パッチの公開状況に関し
ましては、常に本KROWNが最新の情報になります。

プラットフォーム      リリース    提供状況
-------------------  --------    ----------------------------------------------
SPARC Solaris 32bit 　9.2.0.4    提供可能 (p3226109_9204_SOLARIS.zip    91920 bytes)
SPARC Solaris 64bit 　9.2.0.4    提供可能 (p3226109_9204_SOLARIS64.zip 184943 bytes)
HP-UX 64bit           9.2.0.4    提供可能 (p3226109_9204_HP64.zip      230069 bytes)
HP Tru64 UNIX         9.2.0.4    提供可能 (p3226109_9204_TRU64.zip     151516 bytes)
AIX 64bit             9.2.0.4    提供可能 (p3226109_9204_AIX64.zip     167330 bytes)
AIX 64bit 5L          9.2.0.4    提供可能 (p3226109_9204_AIX64-5L.zip  167362 bytes)
Linux x86             9.2.0.4    提供可能 (p3226109_9204_LINUX.zip      81312 bytes)

SPARC Solaris 32bit 　9.0.1.4    提供可能 (p3226142_9014_SOLARIS.zip   843432 bytes)
SPARC Solaris 64bit 　9.0.1.4    提供可能 (p3226142_9014_SOLARIS64.zip 956114 bytes)
HP-UX 64bit           9.0.1.4    提供可能 (p3226142_9014_HP64.zip     1031430 bytes)
HP Tru64 UNIX         9.0.1.4    提供可能 (p3226142_9014_TRU64.zip     955049 bytes)
AIX 64bit             9.0.1.4    提供可能 (p3226142_9014_AIX64.zip     916220 bytes)
Linux x86             9.0.1.4    提供可能 (p3226142_9014_LINUX.zip     817405 bytes)



[よくある質問とその回答]

  Q. 普通に使用している状態で、この障害が発生する可能性はあるでしょうか。
  A. 悪意あるユーザーにより意図的な操作が行われない限り、通常の使用方法では
     この問題は発生しません。

  Q. 本現象を発生させる具体的な方法について教えて下さい。
  A. セキュリティに関する情報のため、公開は控えさせて頂いております。

  Q. Windowsプラットフォームでは本問題は発生しないのでしょうか。
  A. 発生しません。

  Q. OracleOは何のために存在しているのでしょうか。
  A. OracleOは、新たにOracleバイナリをリンクする際に、古いものを
     リネームしてできています。リンクで問題があったとき等の
     バックアップとして使用しています。削除して頂いても問題ありません。

[更新履歴]
2004/04/20 問題を修正したリリース ・ 問題を修正予定のリリースを変更
2004/04/06 9.2.0.5 を修正したPSRに変更
2004/02/19 パッチ情報を更新しました
2003/12/02 パッチ情報を更新しました
2003/11/26 パッチ情報を更新しました
2003/11/19 パッチ情報を更新しました
2003/11/05 誤字を訂正しました (Q&Aの最後が Q. Q. となっていた点)
2003/10/28 よくある質問と回答に、WindowsプラットフォームとOracleOの事項を追加
2003/10/24 本文書を作成