Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

28/04/2011

Grup de pegats d'abril per a múltiples productes Oracle

Oracle ha publicat un conjunt de pegats per a diversos productes de la casa que resolen un total de 73 noves vulnerabilitats. Les conseqüències són que atacants locals i remots poden comprometre greument la seguretat dels sistemes i serveis afectats.

A continuació oferim una relació de productes i el nombre de vulnerabilitats corregides:

• Sis noves vulnerabilitats corregides en Oracle Database. Dos dels problemes corregits són explotables remotament sense autenticació.
• Altres nou vulnerabilitats afecten Oracle Fusió Middleware. Sis d'aquestes podrien ser explotades per un atacant remot sense autenticar. Els components afectats són: Oracle JRockit, Oracle WebLogic Server, Oracle Security Service, Oracle HTTP Server, Oracle Help, Portal, Single Sign On i Oracle Outside In Technology.
• Un pegat afecta Oracle Enterprise Manager Grid Control. En aquesta ocasió un atacant remot sense autenticar no podria arribar a explotar la vulnerabilitat. El component afectat és Application Service Level Management.
• 30 noves vulnerabilitats afecten Oracle Applications dividides en: quatre en Oracle E-Business Suite, una en Oracle Supply Chain Products Suite, 14 en Oracle PeopleSoft Products, huit en Oracle JD Edwards Products i tres en Oracle Siebel CRM.
• 26 pegats afecten la suite de productes Oracle Sun. 18 d'aquestes noves vulnerabilitats afectaven aquests productes i altres huit a Oracle Open Office Suite.
• També s'ha corregit una vulnerabilitat, no explotable remotament sense autenticar, en Oracle Industry Applications.

Sistemes Afectats:

• Oracle Database 11g Release 2, versions 11.2.0.1 i 11.2.0.2
• Oracle Database 11g Release 1, versió 11.1.0.7
• Oracle Database 10g Release 2, versions 10.2.0.3, 10.2.0.4 i 10.2.0.5
• Oracle Database 10g Release 1, versió 10.1.0.5
• Oracle Fusió Middleware 11g Release 1, versions 11.1.1.2.0, 11.1.1.3.0 i 11.1.1.4.0
• Oracle Application Server 10g Release 3, versió 10.1.3.5.0
• Oracle Application Server 10g Release 2, versió 10.1.2.3.0
• Oracle Identity Management 10g, versions 10.1.4.0.1 i 10.1.4.3
• Oracle JRockit, versions R27.6.8 i anteriors (JDK/JRE 1.4.2, 5, 6), R28.1.1 i anteriors (JDK/JRE 5, 6)
• Oracle Outside In Technology, versions 8.3.2.0 i 8.3.5.0
• Oracle WebLogic Server, versions 8.1.6, 9.2.3, 9.2.4, 10.0.2 i 11Gr1 (10.3.2, 10.3.3, 10.3.4)
• Oracle E-Business Suite Release 12, versions 12.0.6, 12.1.1, 12.1.2 i 12.1.3
• Oracle E-Business Suite Release 11i, versió 11.5.10.2
• Oracle Agile Technology Platform, versions 9.3.0.2 i 9.3.1
• Oracle PeopleSoft Enterprise CRM, versió 8.9
• Oracle PeopleSoft Enterprise ELS, versions 9.0 i 9.1
• Oracle PeopleSoft Enterprise HRMS, versions 9.0 i 9.1
• Oracle PeopleSoft Enterprise Portal, versions 8.8, 8.9, 9.0 i 9.1
• Oracle PeopleSoft Enterprise People Tools, versions 8.49, 8.50 i 8.51
• Oracle JD Edwards OneWorld Tools, versió 24.1.X
• Oracle JD Edwards EnterpriseOne Tools, versió 8.98.X
• Oracle Siebel CRM Core, versions 7.8.2, 8.0.0 i 8.1.1
• Oracle INForm, versions 4.5, 4.6 i 5.0
• Oracle Sun Product Suite
• Oracle Open Office, versió 3 i StarOffice/StarSuite, versions 7 i 8

Cal recordar que també s'inclouen els pegats per al sistema operatiu Solaris. Després de la compra de Sun per part d'Oracle, les actualitzacions de Sun passen a integrar-se dins del calendari de publicacions trimestrals.

Referències:

None

Solució:

Per a comprovar les matrius de productes afectats, gravetat i la disponibilitat de pegats, cal comprovar la notificació oficial en:
Oracle Critical Patch Update Advisory - April 2011
http://www.oracle.com/technetwork/topics/security/cpuapr2011-301950.html

Notes:

http://www.hispasec.com/unaaldia/4568/

CSIRT-CV