Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
Oracle Database
(Oracle Database)
Описание
Учетной записи была предоставлена привилегия CREATE PUBLIC SYNONYM.
Oracle поддерживает ряд привилегий, которые предоставляют пользователям возможность выполнять действия над типами объектов. Привилегия CREATE PUBLIC SYNONYM позволяет создавать синонимы.
Синонимы служат для быстрого доступа к объектам Oracle. Например, чтобы избежать использования полных имен при запросах к объектам, можно просто создать общий синоним (PUBLIC SYNONYM) с коротким именем, которое преобразуется в полное имя.
Злоумышленник может эксплуатировать синоним, чтобы создать ситуацию, когда пользователь обратится к объекту, к которому он, возможно, не намеревался обращаться. Таким образом, злоумышленник может вынудить пользователя произвести действия в другой таблице или вызвать другую процедуру. Злоумышленник, возможно, сумеет перехватывать данные другого пользователя или инициировать выполнение пользователем специально сформированной функции PL/SQL.
Рекомендуется предоставлять привилегию на создание общих синонимов только администраторам баз данных.
Oracle поддерживает ряд привилегий, которые предоставляют пользователям возможность выполнять действия над типами объектов. Привилегия CREATE PUBLIC SYNONYM позволяет создавать синонимы.
Синонимы служат для быстрого доступа к объектам Oracle. Например, чтобы избежать использования полных имен при запросах к объектам, можно просто создать общий синоним (PUBLIC SYNONYM) с коротким именем, которое преобразуется в полное имя.
Злоумышленник может эксплуатировать синоним, чтобы создать ситуацию, когда пользователь обратится к объекту, к которому он, возможно, не намеревался обращаться. Таким образом, злоумышленник может вынудить пользователя произвести действия в другой таблице или вызвать другую процедуру. Злоумышленник, возможно, сумеет перехватывать данные другого пользователя или инициировать выполнение пользователем специально сформированной функции PL/SQL.
Рекомендуется предоставлять привилегию на создание общих синонимов только администраторам баз данных.
Как исправить
Отзовите указанные привилегии у пользователей, которые не являются администраторами баз данных. Чтобы отозвать указанные привилегии у учетной записи или роли, выполните следующую команду:
REVOKE CREATE PUBLIC SYNONYM FROM [пользователь или роль];
REVOKE CREATE PUBLIC SYNONYM FROM [пользователь или роль];
Ссылки
Oracle 10 :
CREATE PUBLIC SYNONYM :
http://docs.oracle.com/cd/B19306_01/server.102/b14200/statements_7001.htm
Oracle 11 :
CREATE PUBLIC SYNONYM :
http://docs.oracle.com/cd/B28359_01/server.111/b28286/statements_7001.htm
CREATE PUBLIC SYNONYM :
http://docs.oracle.com/cd/B19306_01/server.102/b14200/statements_7001.htm
Oracle 11 :
CREATE PUBLIC SYNONYM :
http://docs.oracle.com/cd/B28359_01/server.111/b28286/statements_7001.htm