Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
Oracle Database
(Oracle Database)
Описание
Найдены системные привилегии, предоставленные с использованием слова ANY.
Системная привилегия позволяют пользователю выполнять определенные операции в базе данных или класс операций в базе данных. Поскольку обладатели системных привилегий могут оказывать существенное воздействие на работу системы, предоставлять системные привилегии следует только ролям и доверенным пользователям базы данных, и только при необходимости.
Многие системные привилегии могут предоставляться с использованием слова ANY. Это позволяет пользователю или роли выполнять операции с данными или схемами, владельцами которых являются другие пользователи. Например, привилегия SELECT ANY TABLE предоставляет пользователям доступ к представлениям и таблицам в других схемах. Системные привилегии с ANY должны предоставляться только администраторам базы данных.
Примеры системных привилегий со словом ANY:
CREATE ANY TABLE
ALTER ANY TABLE
DROP ANY TABLE
SELECT ANY TABLE
ALTER ANY PROCEDURE
Чтобы запретить доступ к объектам в схеме SYS, нужно настроить параметр инициализации O7_DICTIONARY_ACCESSIBILITY на FALSE. Тогда привилегии, предоставленные на любой объект, можно будет использовать для доступа к любой схеме, кроме SYS.
Системная привилегия позволяют пользователю выполнять определенные операции в базе данных или класс операций в базе данных. Поскольку обладатели системных привилегий могут оказывать существенное воздействие на работу системы, предоставлять системные привилегии следует только ролям и доверенным пользователям базы данных, и только при необходимости.
Многие системные привилегии могут предоставляться с использованием слова ANY. Это позволяет пользователю или роли выполнять операции с данными или схемами, владельцами которых являются другие пользователи. Например, привилегия SELECT ANY TABLE предоставляет пользователям доступ к представлениям и таблицам в других схемах. Системные привилегии с ANY должны предоставляться только администраторам базы данных.
Примеры системных привилегий со словом ANY:
CREATE ANY TABLE
ALTER ANY TABLE
DROP ANY TABLE
SELECT ANY TABLE
ALTER ANY PROCEDURE
Чтобы запретить доступ к объектам в схеме SYS, нужно настроить параметр инициализации O7_DICTIONARY_ACCESSIBILITY на FALSE. Тогда привилегии, предоставленные на любой объект, можно будет использовать для доступа к любой схеме, кроме SYS.
Как исправить
Отзовите системные привилегии со словом ANY, используя следующую команду:
REVOKE [привилегия] FROM DBA;
REVOKE [привилегия] FROM DBA;
Ссылки
Oracle 10 :
SYSTEM PRIVILEGES :
http://docs.oracle.com/cd/B19306_01/server.102/b14200/statements_9013.htm#sthref8989
Oracle 11 :
SYSTEM PRIVILEGES :
http://docs.oracle.com/cd/B28359_01/server.111/b28286/statements_9013.htm#sthref5914
SYSTEM PRIVILEGES :
http://docs.oracle.com/cd/B19306_01/server.102/b14200/statements_9013.htm#sthref8989
Oracle 11 :
SYSTEM PRIVILEGES :
http://docs.oracle.com/cd/B28359_01/server.111/b28286/statements_9013.htm#sthref5914
