Oracle TNS侦听器远程中毒(CVE-2012-1675)漏洞修复方案.docxVIP

Oracle TNS侦听器远程中毒(CVE-2012-1675)漏洞修复方案 深信服科技股份有限公司 漏洞详情信息 漏洞名称 Oracle TNS侦听器远程中毒(CVE-2012-1675)漏洞 漏洞等级 高 漏洞描述 远程Oracle TNS侦听器允许从远程主机注册服务。 攻击者可以利用此问题将数据从合法的数据库服务器或客户端转移到攻击者指定的系统。 成功的利用将使攻击者能够操纵数据库实例，从而有可能促进对合法数据库服务器的中间人攻击，会话劫持或拒绝服务攻击。 漏洞影响 成功的利用将使攻击者能够操纵数据库实例，从而有可能促进对合法数据库服务器的中间人攻击，会话劫持或拒绝服务攻击。 漏洞修复方案 免责声明： 本文档所提供的修复方案,均以官方提供的方案作为最佳方案，其次是针对漏洞原理进行修复的临时解决方案。修复方案中涉及的补丁下载链接均为官方提供的链接，若补丁存在任何异常问题，深信服科技股份有限公司不承担相应责任。 修复建议 方案一 修复原理： 联系供应商升级数据库版本。修复风险： 未知 方案二 修复原理： 禁用动态注册监听。修复风险： 1. 将无法使用动态注册 该方案不适用于Oracle RAC集群部署方式 建议 优先考虑使用方案一，其余方案为临时解决方案请在测试环境试验后，再对生产环境进行修复 1、方案一(升级版本) 方案描述 联系供应商升级数据库版本。 修复依据 /technetwork/topics/security/alert-cve-2012-1675-1608180.html 2、方案二(禁用动态注册) 方案描述 禁用动态注册监听。 修复流程 检查是否配置了静态注册 禁用动态注册 重启TNSListener 完成 风险概述 1. 将无法使用动态注册功能 该方案不适用于Oracle RAC集群部署方式 修复依据 /fulldisclosure/2012/Apr/204 操作前提 必须将需要对外提供服务的数据库配置为静态注册，且数据库使用非集群部署方式 具体操作步骤如下： 步骤1 检查是否配置了静态注册检查配置文件C:\app\Administrator\product\11.2.0\dbhome_1\NETWORK\ADMIN\listener.ora， 查看是否配置了静态注册的数据库，判断方法： 1）只有如下配置则为动态注册， 2）有红框内容则为静态注册配置 如果没有配置任何静态注册，参考以下链接进行配置 /kelantas/archive/2011/02/14/1953992.html 步骤2 禁用动态注册打开配置文件C:\app\Administrator\product\11.2.0\dbhome_1\NETWORK\ADMIN\listener.ora 添加以下内容： DYNAMIC_REGISTRATION_LISTENER = OFF 步骤3 重启TNSListener 附件 无 文档说明 本文档针对Oracle TNS侦听器远程中毒(CVE-2012-1675)漏洞，提供以上整改建议。 版权声明： 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。