Oracle Database密码破解漏洞（CNVD-2012-5378）

CVE编号

CVE-2012-3137

利用情况

暂无

补丁情况

N/A

披露时间

2012-09-22

漏洞描述

Oracle Database是一款商业性质的数据库系统。Oracle Database验证协议存在漏洞。允许攻击者获得会话密钥和任意用户的密码"盐"(salt)信息，获得加密哈希信息后可使攻击者比较容易的进行密码猜测攻击。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://arstechnica.com/security/2012/09/oracle-database-stealth-password-crac...
http://threatpost.com/en_us/blogs/flaw-oracle-logon-protocol-leads-easy-passw...
http://www.darkreading.com/authentication/167901072/security/application-secu...
http://www.exploit-db.com/exploits/22069
http://www.mandriva.com/security/advisories?name=MDVSA-2013:150
http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html
http://www.oracle.com/technetwork/topics/security/cpuoct2012-1515893.html
http://www.securityfocus.com/bid/55651

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	oracle	database_server	10.2.0.3	-
	运行在以下环境
	应用	oracle	database_server	10.2.0.4	-
	运行在以下环境
	应用	oracle	database_server	10.2.0.5	-
	运行在以下环境
	应用	oracle	database_server	11.1.0.7	-
	运行在以下环境
	应用	oracle	database_server	11.2.0.2	-
	运行在以下环境
	应用	oracle	database_server	11.2.0.3	-
	运行在以下环境
	应用	oracle	primavera_p6_enterprise_project_portfolio_management	8.2	-
	运行在以下环境
	应用	oracle	primavera_p6_enterprise_project_portfolio_management	8.3	-
	运行在以下环境
	应用	oracle	primavera_p6_enterprise_project_portfolio_management	8.4	-

CVSS3评分 6.4

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 N/A
• 用户交互 无
• 可用性 无
• 保密性 部分地
• 完整性 部分地

AV:N/AC:L/Au:N/C:P/I:P/A:N

CWE-ID	漏洞类型
CWE-287	认证机制不恰当

Exp相关链接

• https://github.com/hantwister/o5logon-fetch
• https://github.com/r1-/cve-2012-3137
• https://www.exploit-db.com/exploits/22069

- avd.aliyun.com