Oracle corrige 75 vulnerabilidades con su actualización trimestral

omo ya anunciamos anteriormente, Oracle cambió su política de
publicación de actualizaciones para realizarlas de forma trimestral.
Coincidiendo con la distribución de parches de Microsoft de ayer,
Oracle también publicó un macro-parche para cubrir hasta un total de 75 vulnerabilidades de muy diversa índole.

Como en anteriores ocasiones, Oracle no ha facilitado detalles sobre los problemas corregidos, aunque sí se puede desprender que muchos de ellos pueden permitir el acceso total de forma sencilla a los servidores afectados, comprometiendo la confidencialidad, integridad y disponibilidad de los datos.

Las versiones de los productos afectados son las siguientes:
* Oracle Database 10g Release 1, versiones 10.1.0.2, 10.1.0.3, 10.1.0.3.1 y 10.1.0.4
* Oracle9i Database Server Release 2, versiones 9.2.0.5, 9.2.0.6
* Oracle9i Database Server Release 1, versiones 9.0.1.4, 9.0.1.5 y 9.0.4
* Oracle8i Database Server Release 3, versión 8.1.7.4
* Oracle Application Server 10g Release 2 (10.1.2)
* Oracle Application Server 10g (9.0.4), versiones 9.0.4.0, 9.0.4.1
* Oracle9i Application Server Release 2, versiones 9.0.2.3, 9.0.3.1
* Oracle9i Application Server Release 1, versión 1.0.2.2
* Oracle Collaboration Suite Release 2, versiones 9.0.4.1, 9.0.4.2
* Oracle E-Business Suite and Applications Release 11i, versiones
11.5.0 a 11.5.10
* Oracle E-Business Suite and Applications Release 11.0
* Oracle Enterprise Manager Grid Control 10g, versiones 10.1.0.2 y
10.1.0.3
* Oracle Enterprise Manager versions 9.0.4.0, 9.0.4.1
* PeopleSoft EnterpriseOne Applications, versiones 8.9 SP2 y 8.93
* PeopleSoft OneWorldXe/ERP8 Applications, versiones SP22 y superiores

Lo que sí queda confirmado por parte de Oracle, es la fecha de las próximas publicaciones de estos macro-parches, que para el 2005 son el 12 de julio y el 18 de octubre. Es decir, se publican de forma estratégica los segundos martes de los meses enero, abril, julio y octubre, coincidiendo con los boletines de seguridad de Microsoft. De esta forma, Oracle consigue disimular en muchos medios los fallos de sus productos, ya que cualquier posible anuncio queda acallado por las noticias de los parches de Microsoft a los que se da mayor relevancia.

Sin embargo, hay que señalar que a pesar de haber corregido 75
vulnerabilidades en esta actualización, aun existen un elevado número de problemas conocidos, que podrían superar la centena y que no han sido corregidos en este parche, incluyendo vulnerabilidades de inyección SQL y desbordamientos de búfer. Según la política de Oracle, habrá que esperar al mes de julio para una nueva actualización.

La información para la descarga de esta actualización se encuentra disponible en:
http://metalink.oracle.com/metalink/plsql/showdoc?db=Not&id=301040.1

Más información:


Critical Patch Update - April 2005
http://www.oracle.com/technology/deploy/security/pdf/cpuapr2005.pdf

Oracle releases patches, but not for many known flaws
http://searchsecurity.techtarget.com/originalContent/0,289142,sid14_gci1079301,00.html?track=NL-102&ad=510752