Oracle-beheerders krijgen het druk met patches

Oracle kwalificeert de ernst van een beveiligingslek met behulp van een beoordelingssysteem dat bekend staat als CVSS (Common Vulnerability Scoring System) versie 2.0. Sommige van de patches die morgen (dinsdag) beschikbaar komen, vallen in de zwaarste CVSS-categorie, te weten 10.0. Het betreft reparaties voor de producten Audit Vault, JRockit en WebLogic Server (onderdelen van Oracle Fusion Middleware) en het besturingssysteem Sun Solaris.

Oracle Database Server: 6 patches
Zes ‘security fixes’ hebben betrekking op de Oracle Database Server. Ze zijn onder andere gericht op 2 kwetsbaarheden die van buitenaf kunnen worden geëxploiteerd zonder authenticatie met gebruikersnaam en wachtwoord. De hoogste CVSS-score in deze groep patches is 7.5.

Oracle Fusion Middleware: 16 patches
De Oracle Fusion Middleware is onderwerp van 16 patches, waarvan er 12 gericht zijn op kwetsbaarheden die kwaadwillenden zonder authenticatie op afstand kunnen aangrijpen. De maximale score op de CVSS-schaal is in dit geval 10.

Peoplesoft en JD Edwards: 10 patches
De producten PeopleSoft en JD Edwards Suite zijn ditmaal goed voor 10 reparaties. Twee van de zwakke plekken in kwestie zijn vatbaar voor ‘remote execution’ zonder dat authenticatie nodig is. De CVSS-score van deze patches is hoogstens 5.5.

Sun Products Suite: 21 patches
Gebruikers van diverse producten van het door Oracle overgenomen Sun Microsystems krijgen in totaal 21 patches voor de kiezen. Bij 9 daarvan is exploitatie van buitenaf mogelijk zonder gebruikersnaam en wachtwoord. De hoogste CVSS-score in deze groep is 10.

Overige producten: 13 patches
Kleinere groepjes van 1 tot 3 patches zijn gericht op andere producten van Oracle, waaronder

• Secure Backup;
• Audit Vault;
• Enterprise Manager Grid Control;
• Oracle Applications;
• Supply Chain Products Suite;
• Industry Applications;
• Open Office Suite.

Vanwege de dreiging die uitgaat van een succesvolle aanval op een van de genoemde kwetsbaarheden adviseert Oracle zijn klanten om de Critical Path Update “zo spoedig mogelijk” toe te passen. Meer informatie is te vinden in de vooraankondiging op de website van Oracle.