miércoles, 21 de septiembre de 2011

Oracle corrige (por fin) la grave vulnerabilidad de Apache en Fusion Middleware y Application Server

A finales de agosto se descubría una grave vulnerabilidad de denegación de servicio en el servidor httpd de Apache y vimos como de inmediato todas las firmas que lo utilizaban actualizaban sus sistemas. Oracle lo ha tomado en cuenta tras 20 días de espera y finalmente ha publicado un parche crítico para actualizar las ediciones de Oracle Fusion Middleware y Application Server que se sirven internamente de este servidor.

Esta es la quinta vez desde 2005 que se publica un parche fuera de los periodos oficiales de actualización de Oracle (cada tres meses). La gravedad de la misma lo explica todo.

La plataforma Oracle Fusion Middleware y su componente Oracle Applicaction Server ofrecen un conjunto de aplicaciones y soluciones de desarrollo, implementación y gestión integrado para empresas basados en la arquitectura SOA.

Recordamos que la vulnerabilidad CVE-2011-3192, de la que ya hablamos en una anterior UAD "Denegación de servicio en Apache a través de Range header" se caracterizaba por una denegación de servicio a través del envío de peticiones Range especialmente manipuladas que originan un consumo excesivo de memoria en el módulo 'mod_deflate'.

Las versiones afectadas son las siguientes:

* Oracle Fusion Middleware 11g Release 1, versiones 11.1.1.3.0, 11.1.1.4.0, 11.1.1.5.0

* Oracle Application Server 10g Release 3, versiones 10.1.3.5.0 (solamente si Oracle HTTP Server 10g basada en Apache 2.0 ha sido instalado desde el CD Application Server Companion).

* Oracle Application Server 10g Release 2, versión 10.1.2.3.0 (solamente si Oracle HTTP Server 10g basada en Apache 2.0 ha sido instalado desde el CD Application Server Companion).

Desde Oracle se recomienda encarecidamente la aplicación urgente de ésta actualización.


José Mesa
jmesa@hispasec.com


Más información:

Official Patch:
http://support.oracle.com/CSP/main/article?cmd=show&type=NOT&id=1357871.1

Oracle Security Alert for CVE-2011-3192:
http://www.oracle.com/technetwork/topics/security/alert-cve-2011-3192-485304.html

Denegación de servicio en Apache a través de Range header:
http://www.hispasec.com/unaaldia/4688/denegacion-servicio-apache-traves-range-header

No hay comentarios:

Publicar un comentario en la entrada