Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
22/09/2011
Actualizaciones críticas de Oracle para Fusion Middleware y Application Server
A finales de agosto se descubría una grave vulnerabilidad de denegación de servicio en el servidor httpd de Apache y vimos como de inmediato todas las firmas que lo utilizaban actualizaban sus sistemas. Oracle lo ha tomado en cuenta tras 20 días de espera y finalmente ha publicado un parche crítico para actualizar las ediciones de Oracle Fusion Middleware y Application Server que se sirven internamente de este servidor.Esta es la quinta vez desde 2005 que se publica un parche fuera de los periodos oficiales de actualización de Oracle (cada tres meses). La gravedad de la misma lo explica todo.
La plataforma Oracle Fusion Middleware y su componente Oracle Applicaction Server ofrecen un conjunto de aplicaciones y soluciones de desarrollo, implementación y gestión integrado para empresas basados en la arquitectura SOA.
Recordamos que la vulnerabilidad CVE-2011-3192, de la que ya hablamos en una anterior UAD "Denegación de servicio en Apache a través de Range header" se caracterizaba por una denegación de servicio a través del envío de peticiones Range especialmente manipuladas que originan un consumo excesivo de memoria en el módulo 'mod_deflate'.
Sistemas Afectados:- Oracle Fusion Middleware 11g Release 1, versiones 11.1.1.3.0, 11.1.1.4.0, 11.1.1.5.0
- Oracle Application Server 10g Release 3, versiones 10.1.3.5.0 (solamente si Oracle HTTP Server 10g basada en Apache 2.0 ha sido instalado desde el CD Application Server Companion).
- Oracle Application Server 10g Release 2, versión 10.1.2.3.0 (solamente si Oracle HTTP Server 10g basada en Apache 2.0 ha sido instalado desde el CD Application Server Companion).
Referencias:
CVE-2011-3192
Solución:Aplicar los parches para los sistemas afectados.
Notas:http://www.oracle.com/es/index.html