BM05-006 - Blixtmeddelande från Sveriges IT-incidentcentrum - Oracle

Blixtmeddelande från Sveriges IT-incidentcentrum - Oracle
 
Prioritet: Hög
Sitic id: BM05-006
Datum: 050713
Tid: 10:40
 
Allvarliga sårbarheter i flertalet Oracle-produkter.
 
Problembeskrivning:
Flertalet allvarliga sårbarheter upptäckta i Oracles produkter, vilka kan leda till informationsstöld, blockering av tjänst eller kodexekvering med total kontroll över systemet som följd.
 
Verkan:
När det gäller sårbarheter i Oracle Database Server, kan en fjärran angripare utnyttja kontot APPLSYSPUB via en SQL*NET-uppkoppling, vilket medför möjligheter till att köra godtyckliga SQL-kommandon samt "SQL injection".
 
När det gäller sårbarheter i Oracle Application Server, kan en fjärran angripare komma åt lösenordet för APPS-kontot, samt att "Forms Server" går att krasha genom en blockeringsattack.
 
När det gäller sårbarheter i Oracle E-Business Suite så är produkten sårbar för 2 stycken olika typer av "SQL injection", vilka kan leda till buffertöverfldning med exekvering av godtycklig kod som följd.
 
Påverkade versioner:
Oracle Database 10g Release 1, versioner 10.1.0.2, 10.1.0.3, 10.1.0.4
Oracle9i Database Server Release 2, versioner 9.2.0.5, 9.2.0.6
Oracle9i Database Server Release 1, versioner 9.0.1.4, 9.0.1.5, 9.0.1.5 FIPS
Oracle8i Database Server Release 3, version 8.1.7.4
Oracle8 Database Release 8.0.6, version 8.0.6.3
Oracle Enterprise Manager Grid Control 10g, versioner 10.1.0.2, 10.1.0.3
Oracle Enterprise Manager 10g Database Control, versioner 10.1.0.2, 10.1.0.3, 10.1.0.4
Oracle Enterprise Manager Application Server Control, versioner 9.0.4.0, 9.0.4.1
Oracle Application Server 10g (9.0.4), versioner 9.0.4.0, 9.0.4.1
Oracle9i Application Server Release 2, versioner 9.0.2.3, 9.0.3.1
Oracle9i Application Server Release 1, version 1.0.2.2
Oracle Collaboration Suite Release 2, versioner 9.0.4.1, 9.0.4.2
Oracle E-Business Suite och Applications Release 11i, versioner 11.5.1 through 11.5.10
Oracle E-Business Suite och Applications Release 11.0
Oracle Workflow, versioner 11.5.1 through 11.5.9.5
Oracle Forms och Reports, versioner 4.5.10.22, 6.0.8.25
Oracle JInitiator, versioner 1.1.8, 1.3.1
Oracle Developer Suite, versioner 9.0.2.3, 9.0.4, 9.0.4.1, 9.0.5, 10.1.2
Oracle Express Server, version 6.3.4.0
 
Mer information: 
http://www.integrigy.com/analysis.htm
http://www.oracle.com/technology/deploy/security/pdf/cpujul2005.html
 
Uppdatering: 
http://www.oracle.com/technology/deploy/security/pdf/cpujul2005.html
 
Incidentrapportering till Sitic: http://www.sitic.se/rapportera_en_incident/index.html