CERT-FI haavoittuvuustiedote 060/2009

15.7.2009

Oraclelta kriittisiä päivityksiä heinäkuun päivityspaketissa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen - palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Oracle on julkaissut kriittiseksi luokittelemansa päivityspaketin jolla päivitetään useita haavoittuvuuksia Oraclen ohjelmistoissa. Osa paketin päivityksistä ei ole luonteeltaan tietoturvapäivityksiä, mutta niiden asentaminen on pakollista joidenkin paketissa olevien tietoturvapäivitysten asentamiseksi. Heinäkuun päivitykset sisältävät yhteensä 30 uutta tietoturvapäivitystä.

HAAVOITTUVAT OHJELMISTOT:

• Oracle Database 11g, versio 11.1.0.6, 11.1.0.7
  
• Oracle Database 10g Release 2, versiot 10.2.0.3, 10.2.0.4
  
• Oracle Database 10g, versio 10.1.0.5
  
• Oracle Database 9i Release 2, versiot 9.2.0.8 ja 9.2.0.8DV
  
• Oracle Application Server 10g Release 2 (10.1.2), versio 10.1.2.3.0
• Oracle Application Server 10g Release 3 (10.1.3), versiot 10.1.3.3.0 ja 10.1.3.4.0
• Oracle Identity Management 10g, versio 10.1.4.0.1, 10.1.4.2.0 ja 10.1.4.3.0
• Oracle E-Business Suite Release 12, versiot 12.1 ja 12.0.6
• Oracle E-Business Suite Release 11i, versio 11.5.10.2
• Oracle Enterprise Manager Database Control 11, versiot 11.1.0.6 ja 11.1.0.7
• Oracle Enterprise Manager Grid Control 10g Release 4, versio 10.2.0.4
• PeopleSoft Enterprise PeopleTools, versio 8.49
  
• PeopleSoft Enterprise HRMS, versiot 8.9 ja 9.0
  
• Siebel Highly Interactive Client, versiot 7.5.3, 7.7.2, 7.8, 8.0 ja 8.1
• Oracle WebLogic Server 10.3 ja 10.0MP1
  
• Oracle WebLogic Server 9.0 GA, 9.1 GA, 9.2 MP3 asti
• Oracle WebLogic Server 8.1 SP6 asti
• Oracle WebLogic Server 7.0 SP7 asti
• Oracle Complex Event Processing 10.3 ja WebLogic Event Server 2.0
• Oracle JRockit R27.6.3 ja aikaisemmat (JDK/JRE 6, 5, 1.4.2)

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti, mikäli mahdollista. Osan haavoittuvuuksista hyväksikäyttöä on valmistajan mukaan mahdollista rajoittaa poistamalla väliaikaisesti joitakin tuotteiden ominaisuuksia käytöstä.

LISÄTIETOA:

• Oraclen heinäkuun tietoturvapäivitykset
• CVE-2009-0217, CVE-2009-0987, CVE-2009-1015, CVE-2009-1019,
• CVE-2009-1020, CVE-2009-1021, CVE-2009-1093, CVE-2009-1094,
• CVE-2009-1095, CVE-2009-1097, CVE-2009-1098, CVE-2009-1099,
• CVE-2009-1100, CVE-2009-1101, CVE-2009-1523, CVE-2009-1963,
• CVE-2009-1966, CVE-2009-1967, CVE-2009-1968, CVE-2009-1969,
• CVE-2009-1970, CVE-2009-1973, CVE-2009-1974, CVE-2009-1975,
• CVE-2009-1976, CVE-2009-1977, CVE-2009-1978, CVE-2009-1980,
• CVE-2009-1981, CVE-2009-1982, CVE-2009-1983, CVE-2009-1984,
• CVE-2009-1986, CVE-2009-1987, CVE-2009-1988, CVE-2009-1989
  

PÄIVITYSHISTORIA:

15.7.2009, kello 11.25: Julkaistu

Sivua päivitetty 15.07.2009

Tulostusversio