发布日期：2004-12-23
更新日期：2004-12-28

受影响系统：

Oracle Oracle10g Application Server 9.0.4.0
Oracle Oracle10g Application Server 10.1.0.2

描述：

---

CVE(CAN) ID: CVE-2004-1368

Oracle Database是一款商业性质大型数据库系统。

Oracle 10g ISQL*Plus load.uix对参数请求缺少正确处理，远程攻击者可以利用这个漏洞访问系统文件内容。

通过请求http://server:5560/isqlplus/load.uix ，会出现两个输入框，一个是"URL"一个是"File"参数，通过输入文件的全路径，可导致以oracle用户权限读取系统文件。

<*来源：David Litchfield （david@nextgenss.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110382264415387&w=2
*>

建议：

---

厂商补丁：

Oracle
------
ORACLE已经发布patch (#68)来修正此漏洞：

http://metalink.oracle.com/

浏览次数：2920
严重程度：0（网友投票）