发布日期：2005-07-14
更新日期：2005-07-14

受影响系统：

Oracle JDeveloper 9.0.5
Oracle JDeveloper 9.0.4
Oracle JDeveloper 10.1.2

描述：

---

CVE(CAN) ID: CVE-2005-2292

Oracle Database是一款商业性质大型数据库系统。

Oracle的JDeveloper配置文件IDEConnections.xml，XSQLConfig.xml和settings.xml中存在未加密的数据库口令：

1. IDEConnections.xml中的明文口令

<connection>
<JDBC_PORT>1521</JDBC_PORT>
<ConnectionType>JDBC</ConnectionType>
<HOSTNAME>picard</HOSTNAME>
<DeployPassword>true</DeployPassword>
<user>system</user>
<ConnectionName>ConnectionAlex2</ConnectionName>
<SID>ora10103</SID>
<JdbcDriver>oracle.jdbc.driver.OracleDriver</JdbcDriver>
<password>mysupersecretpassword1</password>
<ORACLE_JDBC_TYPE>thin</ORACLE_JDBC_TYPE>
</connection>

2. XSQLConfig.xml中的明文口令

<connection name="ConnectionAlex1">
<username>system</username>
<password>mysupersecretpassword1</password>
<dburl>jdbc:oracle:oci8:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)
(HOST=picard)(PORT=1521)))(CONNECT_DATA=(SID=ora10103)))</dburl>
<driver>oracle.jdbc.driver.OracleDriver</driver>
</connection>

3. settings.xml中的OTN帐号明文口令

<Item>
<Key>oracle.ideimpl.update.wizard.AuthInfo</Key>
<Value class="oracle.ideimpl.update.wizard.AuthInfo">
<password>mysupersecretpassword1</password>
<passwordRemembered>true</passwordRemembered>
<userName>email@email.com</userName>
</Value>
</Item>

攻击者可以利用这些口令信息发动各种攻击。

<*来源：Alexander Kornbrust （ak@red-database-security.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=112129177927502&w=2
        http://www.oracle.com/technology/deploy/security/pdf/cpujul2005.html
        http://www.us-cert.gov/cas/techalerts/TA05-194A.html
*>

建议：

---

厂商补丁：

Oracle
------
Oracle已经为此发布了一个安全公告（cpujul2005）以及相应补丁:
cpujul2005：Critical Patch Update - July 2005
链接：http://www.oracle.com/technology/deploy/security/pdf/cpujul2005.html

补丁下载：

http://metalink.oracle.com/metalink/plsql/ml2_documents.showDocument?p_database_id=NOT&p_id=311038.1

浏览次数：3228
严重程度：21474（网友投票）