涉及程序： Oracle 描述： Oracle存在可远程开发的缓冲溢出缺陷 详细： Oracle是一款使用非常广泛的数据库服务器，占据了数据库市场54%的份额。Oracle数据库服务器中发现存在一个可远程开发的缓冲溢出 缺陷，并且，攻击者利用此缺陷时不需要拥有合法的ID和口令。在攻击者试图登录到服务器时，发送一个超长的用户名，将触发缓冲溢出，导致攻击者将以用户权限执行任意代码。该缺陷将危及保存在数据库中的数据，并可能危及操作系统。 大多数Oracle客户端程序能正确处理提供给数据库的超长用户名，攻击者需要写入他们自己Oracle\"Authenticator\"去利用该缺陷。 该缺陷存在于类似“Oracle”的linux/unix 系统和Windows NT/2000/XP操作系统上。 受影响的版本：Oracle9i Database Release 2, 9i Release 1,8i, 8.1.7, 8.0.6 NGSSoftware已经创建允许长用户名的客户端程序，因此，如果受此缺陷影响，可利用LOADPSP进行测试(通常在OracleHomeInstallDirectory的“bin”目录下)。 在Windows中，可运行： C:\\ora9ias\\BIN>loadpsp -name -user LONGUSERNAME/tiger@iasdb myfile 攻击方法： 暂无有效攻击代码 解决方案： Oracle已公布该缺陷的补丁： http://otn.oracle.com/deploy/security/pdf/2003alert51.pdf 同时，Oracle还提供该缺陷的检测工具，详情请查看： http://www.ngssoftware.com/software/squirrelfororacle.html