发布日期：2004-03-31
更新日期：2004-03-31

受影响系统：

Oracle Oracle 9i Application Server

描述：

---

Oracle9i Application Server（Oracle9iAS）是一种综合性的、集成的应用服务器，它提供了成功运行任何电子商务所需的全部基础架构和功能。

Oracle9i Application Server Single Sign-on在实现上存在安全漏洞，可导致跨站脚本攻击。此漏洞在于"Oracle 9iAS Single Sign-on Administrators Guide"内建议的示例登录表单，允许用户提供 "p_submit_url" 参数。这可使恶意用户将用户重定向到虚假网站，从而公开用户凭证。

<*来源：Guido van Rooij
  
  链接：http://secunia.com/advisories/11251
*>

建议：

---

临时解决方法：

确保定制登录表单包含硬编码的"p_submit_url"值。

厂商补丁：

Oracle
------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.oracle.com/ip/deploy/ias/

浏览次数：2543
严重程度：0（网友投票）