Oracle schließt 248 Lücken in seinen Produkten

Oracle hat mit seinem jüngsten Critical Patch Update 248 Sicherheitslücken in seinen Produkten geschlossen und damit einen neuen Patch-Rekord aufgestellt. Rund 100 davon können aus der Ferne ohne Authentifizierung ausgenutzt werden. Updates liegen unter anderem vor für Oracles E-Business Suite, Enterprise Manager Grid Control, Fusion Middleware, Sun Systems Products Suite, MySQL, PeopleSoft, Virtualization, Retail Applications, Java SE, JD Edwards, Database Server, Communications Applications, Supply Chain Products Suite, GoldenGate und iLearning.

Zum letzten vierteljährlichen Patchday im Oktober hatte Oracle insgesamt 154 Schwachstellen beseitigt. Im Schnitt stopft es mit jedem Critical Patch Update (CPU) rund 100 Sicherheitslöcher. Allerdings ist die Zahl in den vergangenen Jahren deutlich angestiegen.

Die Zahl der in Oracle-Produkten geschlossenen Lücken ist in den letzten Jahren deutlich angestiegen (Bild: ERPScan).

Alleine 78 der jetzt geschlossenen 248 Lücken stecken in der Oracle Enterprise Business Suite (EBS). Sie macht damit fast ein Drittel aller Patches aus, während auf Enterprise Manager Grid 14 Prozent und auf Fusion Middleware 11 Prozent entfallen. Oracles Konkurrenzprodukt zu SAP kommt vor allem in großen Konzernen zum Einsatz, fast alle Fortune-500-Unternehmen setzten die Oracle-ERP-Lösung ein.

„Jedes dieser 78 Probleme ist von großer Bedeutung, weil sie allesamt unternehmenskritische Anwendungen auf Basis der E-Business-Suite betreffen, etwa die Value Chain Execution Suite, Value Chain Planning, Advanced Procurement, Supply Chain Management, Project Portfolio Management, Human Capital Management und CRM“, kommentieren Sicherheitsforscher von ERPScan, die laut eigenen Angaben einige der Lecks aufgespürt haben. „Diese Anwendungen speichern und verarbeiten wertvollste Unternehmensdaten wie HR-Informationen, Finanzdaten oder Listen von Lieferanten und Kunden. Im Fall eines erfolgreichen Angriffs kann eine Person mit unlauteren Absichten, Daten zu Materialmengen oder Produktpreise manipulieren, Gelder umleiten und Finanzberichte verändern, um nur einige Beispiele zu nennen.“

Die weitere Analyse von ERPScan zeigt aber auch, dass die insgesamt 78 Lecks in 76 Fällen mit moderatem Risiko sowie zwei Lecks mit niedriger Gefährdung eingestuft sind. Der höchste Wert im 10 Punkte umfassenden Common Vulnerability Scoring System (CVSS) liegt für Oracle EBS bei 6,4. Die höchste Risikobewertung von 10,0 gilt im Januar-CPU für insgesamt fünf Schwachstellen. Die meisten davon betreffen Oracle Java SE. Daher sollten Anwender dieses als erstes aktualisieren, rät Oracle.

Die Lecks CVE-2016-0494 und CVE-2015-8126 finden sich in verschiedenen Versionen von Java SE und Java SE Embedded. Sie erlauben einfach auszunutzende Netzwerkangriffe über verschiedene Protokolle. Ein Angreifer kann die Kontrolle über ein Client-System übernehmen und beliebigen Code ausführen. Eine weitere hochkritisches Lücke (CVE-2016-0483) steckt in Java SE sowie in JRockit. Die ebenfalls als kritisch eingestuften Schwachstellen CVE-2016-0451 und CVE-2016-0452 betreffen Oracle GoldenGate. Auch hier kann ein Angreifer das System übernehmen und beliebigen Code ausführen.

In seinem Security-Blog empfiehlt Oracle, die bereitgestellten Patches schnellstmöglich aufzuspielen. Zugleich betont es aber, dass sich keines der Lecks in seinen Datenbank-Produkten derzeit aus der Ferne ausnutzen lasse.

[mit Material von Martin Schindler, silicon.de]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de