April-Patchday: Oracle schließt 520 Sicherheitslücken
Rund 70 Bugs erhalten CVSS-Score von 9,8. Zahlreiche Lücken lassen sich ohne vorherige Authentifizierung ausnutzen. Oracle empfiehlt schnelles Patchen.
Oracle hat Details zu seinem April-Patchday veröffentlicht. Das Unternehmen beseitigt insgesamt 520 Schwachstellen in seinen Produkten. Drei Anfälligkeiten sind mit zehn von zehn möglichen Punkten im Common Vulnerability Scoring System (CVSS) bewertet – rund 70 Schwachstellen bringen es indes auf 9,8 von 10 Punkten.
Die Updates betreffen zahlreiche Oracle-Produkte, von Datenbank-Servern über die hauseigene Blockchain-Platform bis zu Virtualisierungslösungen. Stark betroffen ist Oracle Communications Cloud Native Core Network Exposure Function mit zwei Bugs mit einem CVSS-Score von 10 sowie 31 Sicherheitslücken mit einem Score von 9,8 Punkten.
Insgesamt 149 der 520 Patches entfallen auf Oracle-Communications-Produkte. 98 Davon lassen sich aus der Ferne und ohne Authentifizierung ausnutzen. Die Oracle Financial Services erhalten im April 41 Patches, wobei sich 19 Schwachstellen unter Umständen aus der Ferne und ohne Abfrage von Anmeldedaten ausnutzen lassen.
Auch MySQL und Fusion Middleware betroffen
Weitere schwerwiegende Fehler stecken in Business Intelligence Enterprise Edition, Business Process Management Suite, Coherence und HTTP-Server. Auch zahlreiche Bugs in Fusion Middleware erlauben eine Remotecodeausführung ohne Authentifzierung.
Außerdem werden Oracle MySQL mit 43 Patches versorgt, Oracle Retail mit 30 Patches und Oracle Blockchain Platform mit 15 Patches. In allen drei Fällen können Angreifer unter Umständen Schadcode aus der Ferne einschleusen und ausführen, ohne sich zuvor anzumelden.
Eric Maurice, Vice President of Security Assurance bei Oracle, rät Kunden, die Updates so schnell wie möglich zu installieren. “In einigen Fällen wurde berichtet, dass Angreifer erfolgreich waren, weil die betroffenen Kunden die verfügbaren Oracle-Patches nicht angewendet hatten. Oracle empfiehlt daher dringend, dass Kunden weiterhin aktiv unterstützte Versionen verwenden und die Critical Patch Update Sicherheits-Patches unverzüglich anwenden.”
Darüber hinaus kündigte Oracle eine Änderung bei der Terminierung seiner vierteljährlichen Sicherheitsupdates an. Sie erscheinen künftig nicht mehr an dem Dienstag im Januar, April, Juli beziehungsweise Oktober, der dem 17. am nächsten ist, sondern generell am dritten Dienstag im Januar, April, Juli und Oktober. Die Änderung soll es Administratoren erleichtern, künftige Patch-Termine von Oracle zu planen.
