Oracle a publié une version programmée de mises à jour de ses produits (Critical Patch Update), visant à éliminer les problèmes critiques et les vulnérabilités. La mise à jour de janvier a corrigé un total de 497 vulnérabilités.
Quelques problèmes:
- 17 problèmes de sécurité dans Java SE. Toutes les vulnérabilités peuvent être exploitées à distance sans authentification et affectent les environnements qui permettent l'exécution de code non fiable. Les problèmes ont un niveau de gravité modéré : 16 vulnérabilités se voient attribuer un niveau de gravité de 5.3 et une vulnérabilité se voit attribuer un niveau de gravité de 3.7. Les problèmes affectent le sous-système 2D, Hotspot VM, les fonctions de sérialisation, JAXP, ImageIO et diverses bibliothèques. Les vulnérabilités ont été résolues dans les versions Java SE 17.0.2, 11.0.13 et 8u311.
- 30 vulnérabilités dans le serveur MySQL, dont une exploitable à distance. Les problèmes les plus graves associés à l'utilisation du package Curl et au fonctionnement de l'optimiseur se voient attribuer des niveaux de gravité de 7.5 et 7.1. Des vulnérabilités moins dangereuses affectent l'optimiseur, InnoDB, les outils de chiffrement, le DDL, les procédures stockées, le système de privilèges, la réplication, l'analyseur, les schémas de données. Les problèmes ont été résolus dans les versions MySQL Community Server 8.0.28 et 5.7.37.
- 2 vulnérabilités dans VirtualBox. Les problèmes se voient attribuer les niveaux de gravité 6.5 et 3.8 (la deuxième vulnérabilité n'apparaît que sur la plateforme Windows). Les vulnérabilités sont corrigées dans la mise à jour VirtualBox 6.1.32.
- 5 vulnérabilité dans Solaris. Les problèmes affectent le noyau, le programme d'installation, le système de fichiers, les bibliothèques et le sous-système de suivi des pannes. Les problèmes se sont vu attribuer des niveaux de gravité de 6.5 et moins. Les vulnérabilités sont corrigées dans la mise à jour Solaris 11.4 SRU41.
- Des travaux ont été effectués pour éliminer les vulnérabilités de la bibliothèque Log4j 2. Au total, 33 vulnérabilités causées par des problèmes dans Log4j 2, apparues dans des produits tels que
- Serveur Oracle WebLogic
- Portail Oracle WebCenter,
- Oracle Business Intelligence Édition Entreprise,
- Routeur de signalisation de diamètre Oracle Communications,
- Enregistreur de session interactif Oracle Communications,
- Courtier de services de communications Oracle
- Gardien d'accès aux services de communication Oracle,
- Contrôleur de session Oracle Communications WebRTC,
- Passerelle Primavera,
- Gestion de portefeuille de projets d'entreprise Primavera P6,
- Unificateur Primavera,
- Instantis EnterpriseTrack,
- Infrastructure d'applications analytiques Oracle Financial Services,
- Gestion et gouvernance du modèle Oracle Financial Services,
- Transfert de fichiers géré par Oracle,
- Vente au détail Oracle*,
- Cadre d'interface utilisateur Siebel,
- Accélérateur de tests des utilitaires Oracle.
Source: opennet.ru