Oracle komt weer met lading patches

Dat blijkt uit een vooraankondiging die Oracle donderdag op zijn website heeft gepubliceerd. De Critical Patch Update voor dit kwartaal, die op dinsdag 19 juli uitkomt, bevat een reeks reparaties voor uitlopende kwetsbaarheden in ‘honderden’ producten. Het salvo aan patches is dit keer iets heviger dan in het voorgaande kwartaal, toen beheerders van Oracle-producten in april 73 patches voor hun kiezen kregen.

Redactie AG ConnectMeer van deze auteur

Drie kwetsbaarheden verdienen hoogste score
Oracle maakt gebruik van het waarderingssysteem CVSS 2.0 om de ernst van de diverse beveiligingslekken aan te geven. De hoogste score (10.0) is dit keer weggelegd voor Oracle Secure Backup, SPARC-producten in Oracle Sun Products Suite en JRockit, een onderdeel van Oracle Fusion Middleware.

Van de 13 nieuwe patches voor de Oracle Database Server kunnen er 2 op afstand worden misbruikt zonder dat authenticatie door middel van gebruikersnaam en wachtwoord nodig is. Eveneens 2 stoplappen hebben betrekking op ‘client-only’ installaties, waar Oracle Database Server dus niet geïnstalleerd hoeft te zijn. De gevaarlijkste van de 13 kwetsbaarheden krijgt CVSS-score 7.1 opgedrukt.
Maar liefst 23 beveiligingsfouten worden hersteld in de Oracle Sun Products Suite. Daarvan kunnen kwaadwillenden er 9 zonder authenticatie op afstand gebruiken voor een aanval. De zwaarste CVSS-score van 10.0 slaat in dit geval op software voor de SPARC T3 Series en SPARC Netra T3 Series, producten van het voormalige Sun Microsystems.
De update van dinsdag bevat 18 patches voor Oracle Enterprise Manager Grid Control. Aanvallers kunnen de helft van deze lekken uitbuiten zonder zich te hoeven authenticeren.
Ook in de PeopleSoft-productlijn blijken flink wat kwetsbaarheden te zitten. Oracle komt hiervoor dit kwartaal met 12 patches. Lichtpuntje is dat slechts één ervan exploiteerbaar is zonder gebruikersnaam en wachtwoord.
De Oracle Fusion Middleware krijgt 7 patches over zich heen, waarvan er 2 zonder authenticatie te misbruiken zijn. Hierbij is de hoogste score 10.0.
In Oracle Secure Backup zijn 3 beveiligingsproblemen aangetroffen die nu worden hersteld. Ze zijn allemaal rijp voor ‘exploits’ via het netwerk zonder opgave van gebruikersnaam en wachtwoord. Ook hier wijst de CVSS-score van 10.0 op een kritiek probleem.
Slechts een enkele zwakke plek is ontdekt in zowel Oracle E-Business Suite als Oracle Supply Chain Products Suite. De eerste kan wel, de tweede niet worden uitgebuit zonder authenticatie.

Snel toepassen is geboden, adviseert Oracle
Gezien het gevaar dat niet-beveiligde producten opleveren, adviseert Oracle zijn klanten om de Critical Patch Update zo snel mogelijk toe te passen.