Un reciente hallazgo en el protocolo Transparent Network Substrate (TNS) de Oracle ha puesto en evidencia una peligrosa fuga de memoria. La vulnerabilidad permite que un atacante no autenticado extraiga fragmentos de memoria directamente del listener de la base de datos, lo que puede incluir información sensible como variables de entorno del sistema y datos de configuración.

Oracle abordó esta falla como parte del Critical Patch Update (CPU) de abril de 2025. Sin embargo, aún se identifican múltiples servidores expuestos en internet que no han sido actualizados.

¿En qué consiste la vulnerabilidad?

El fallo se activa cuando un cliente envía una petición especialmente diseñada para consultar la versión del listener, utilizando la cadena:

(DESCRIPTION=(CONNECT_DATA=(COMMAND=version)))

Normalmente, esto debería retornar un banner controlado. No obstante, si el listener acepta conexiones seguras mediante TCPS y la opción LOCAL_OS_AUTHENTICATION está desactivada (OFF), el servidor puede incluir en la respuesta fragmentos de memoria no inicializada. Este comportamiento expone información como USERDOMAIN, USERNAME y la variable de entorno Path en sistemas Windows.

La vulnerabilidad fue descubierta por el equipo de Driftnet mientras desarrollaban herramientas de análisis de protocolo para mapear superficies de ataque.

Detalles técnicos

• Identificador: CVE-2025-30733
• Versiones afectadas: Oracle Database 19.3–19.26, 21.3–21.17 y 23.4–23.7
• CVSS v3.1: 6.5 (Impacto principal en confidencialidad)
• Condiciones de explotación:
  • Acceso de red al listener TNS (por defecto en el puerto 1521)
  • Configuración no predeterminada que permita accesos remotos
  • Requiere la existencia de un usuario legítimo (UI:R)

Impacto potencial

Los datos expuestos pueden revelar rutas de instalación, nombres de usuario de servicios del sistema e información de conexiones de clientes, lo que facilita actividades como el movimiento lateral dentro de una red o ataques más dirigidos. A pesar de que Oracle deshabilita el acceso remoto al listener desde la versión 10g, Driftnet ha identificado al menos 40 instancias accesibles públicamente, la mayoría ejecutándose sobre Windows.

Medidas de mitigación

Para proteger los sistemas, se recomienda lo siguiente:

• Aplicar parches: Instalar inmediatamente el CPU de abril de 2025 o una versión más reciente.
• Revisar configuración: Asegurarse de que LOCAL_OS_AUTHENTICATION esté configurado en ON, salvo que exista una necesidad técnica clara para lo contrario.
• Limitar exposición: Restringir el acceso al puerto 1521 únicamente a redes internas o entornos controlados mediante VPN.
• Auditoría y monitoreo: Supervisar el tráfico al listener, especialmente aquellas solicitudes que incluyan el parámetro COMMAND=version.

Fuentes y recursos adicionales

• Cybersecurity News – “Oracle TNS Protocol Vulnerability Let Attackers Access System Memory Contents”
• Driftnet – “Memory leak in Oracle Transparent Network Substrate (TNS)”
• Oracle – “Critical Patch Update Advisory – April 2025”
• NVD – CVE-2025-30733