Oracle ha publicado su paquete de actualización crítica trimestral para
cubrir múltiples vulnerabilidades de seguridad. En esta ocasión hasta
un total de 75 problemas diferentes, aunque algunos afectan a diversas
familias de productos.
Como ya anunciamos anteriormente, Oracle cambió su política de
publicación de actualizaciones para realizarlas de forma trimestral.
Coincidiendo con la distribución de parches de Microsoft de ayer,
Oracle también publicó un macro-parche para cubrir hasta un total de 75
vulnerabilidades de muy diversa índole.
Como en anteriores ocasiones, Oracle no ha facilitado detalles sobre
los problemas corregidos, aunque sí se puede desprender que muchos de
ellos pueden permitir el acceso total de forma sencilla a los
servidores afectados, comprometiendo la confidencialidad, integridad y
disponibilidad de los datos.
Las versiones de los productos afectados son las siguientes:
* Oracle Database 10g Release 1, versiones 10.1.0.2, 10.1.0.3, 10.1.0.3.1
y 10.1.0.4
* Oracle9i Database Server Release 2, versiones 9.2.0.5, 9.2.0.6
* Oracle9i Database Server Release 1, versiones 9.0.1.4, 9.0.1.5 y 9.0.4
* Oracle8i Database Server Release 3, versión 8.1.7.4
* Oracle Application Server 10g Release 2 (10.1.2)
* Oracle Application Server 10g (9.0.4), versiones 9.0.4.0, 9.0.4.1
* Oracle9i Application Server Release 2, versiones 9.0.2.3, 9.0.3.1
* Oracle9i Application Server Release 1, versión 1.0.2.2
* Oracle Collaboration Suite Release 2, versiones 9.0.4.1, 9.0.4.2
* Oracle E-Business Suite and Applications Release 11i, versiones
11.5.0 a 11.5.10
* Oracle E-Business Suite and Applications Release 11.0
* Oracle Enterprise Manager Grid Control 10g, versiones 10.1.0.2 y
10.1.0.3
* Oracle Enterprise Manager versions 9.0.4.0, 9.0.4.1
* PeopleSoft EnterpriseOne Applications, versiones 8.9 SP2 y 8.93
* PeopleSoft OneWorldXe/ERP8 Applications, versiones SP22 y superiores
Lo que sí queda confirmado por parte de Oracle, es la fecha de las
próximas publicaciones de estos macro-parches, que para el 2005 son el
12 de julio y el 18 de octubre. Es decir, se publican de forma
estratégica los segundos martes de los meses enero, abril, julio y
octubre, coincidiendo con los boletines de seguridad de Microsoft. De
esta forma, Oracle consigue disimular en muchos medios los fallos de
sus productos, ya que cualquier posible anuncio queda acallado por las
noticias de los parches de Microsoft a los que se da mayor relevancia.
Sin embargo, hay que señalar que a pesar de haber corregido 75
vulnerabilidades en esta actualización, aun existen un elevado número
de problemas conocidos, que podrían superar la centena y que no han
sido corregidos en este parche, incluyendo vulnerabilidades de
inyección SQL y desbordamientos de búfer. Según la política de Oracle,
habrá que esperar al mes de julio para una nueva actualización.
La información para la descarga de esta actualización se encuentra
disponible en:
http://metalink.oracle.com/metalink/plsql/showdoc?db=Not&id=301040.1
antonior@hispasec.com
Más información:
Oracle publicará sus parches de forma trimestral
http://www.hispasec.com/unaaldia/2217
Critical Patch Update – April 2005
http://www.oracle.com/technology/deploy/security/pdf/cpuapr2005.pdf
Oracle releases patches, but not for many known flaws
http://searchsecurity.techtarget.com/originalContent/0,289142,sid14_gci1079301,00.html?track=NL-102&ad=510752
Deja una respuesta