Oracle E-Business Suite SQLNetログファイルの漏えい

medium Web App Scanning プラグイン ID 115319

Language:

概要

説明

Oracle E-Business Suite(EBS)が、Web からアクセス可能な「bin」ディレクトリ(たとえば、「/OA_HTML/bin/sqlnet.log」または「/html/bin/sqlnet.log」)の下に Oracle Net(SQL*Net)ログファイル「sqlnet.log」を漏洩します。このファイルが認証なしでアクセス可能になると、「DESCRIPTION=」接続記述子や「USER=」エントリなどの Oracle Net 接続の詳細が漏洩し、内部ホスト名、サービス名、ポート、データベースアカウント名が漏洩します。

認証されていないリモートの攻撃者がこのファイルを取得して、内部データベーストポロジーをマッピングし、有効なアカウント名とサービス名を列挙する可能性があります。この情報を利用して、Oracle E-Business Suite環境とそのバッキング・データベース・サービスに対する標的を絞った攻撃をさらに実行できます。

ソリューション

Web サーバーまたはリバースプロキシレイヤーで「sqlnet.log」ファイルとそれに含まれる「bin」ディレクトリへのパブリックアクセスを制限し、Oracle の E-Business Suite セキュリティ強化ガイダンスを適用してください。Oracle Netログ・ファイルは、Webでアクセス可能な場所から提供しないでください。可能であれば、ドキュメントルートの外側に移動してください。