Oracle stellt mit dem ersten Quartals-Sammel-Update in diesem Jahr insgesamt 248 Sicherheitspatches für Produkte seines Software-Portfolios zum Download bereit. Angreifer sollen bei einem Großteil der Schwachstellen aus der Ferne ohne Authentifizierung ausnutzen können. Allerdings gelten insgesamt nur fünf Lücken als kritisch.

Eine Liste mit allen betroffenen Anwendungen hat Oracle wie üblich bereitgestellt. Aber nur registrierte Nutzer, die Zugang zum Support-Portal haben, können Details über die Sicherheitslücken, mögliche Angriffsszenarien und Auswirkungen wie Remotecodeausführung einsehen.

Oracle hat 78 Lücken in der E-Bussines-Suite behoben, das die meisten Schwachstellen behebt. 69 dieser Lücken sollen aus der Ferne ausgenutzt werden können. Mit maximal einem CVSS-2.0-Rating von 6.4/10 wird der Schweregrad der Lücken eingestuft.

Über 23 Updates wird Oracles Sun System Products Suite abgesichert. Angreifer sollen sieben Lücken über das Internet ohne Authentifizierung ausnutzen können. Diese Lücken wurden mit einem CVSS-2.0-Rating von 7,4/10 bewertet.

Die 22 Sicherheitspatches für MySQL sollten Nutzer einspielen, da eine der Schwachstellen von Angreifer aus der Ferne attackiert werden könnte, warnt Oracle. Mit einem CVSS-2.0-Rating von 7,2/10 wird der höchste Schweregrad bei MySQL eingestuft.

Das Quartals-Sammel-Update enthält für Oracles Virtualisierungslösungen wie VirtualBox neun Fixes. Laut Oracle können fünf Schwachstellen über das Internet ohne Benutzernamen und Passwort angegriffen werden. Das höchste CVSS-2.0-Rating ist bei den Virtualisierungslösungen 7,5/10.

Für Java SE gibt es acht Sicherheitspatches. Davon sollen vier ausschließlich Clients betreffen und die anderen vier Clients und Server. Auch hier sollen sieben Lücken davon Angreifer ohne Nutzernamen und Passwort aus der Ferne ausnutzen können. Drei dieser Schwachstellen weisen ein CVSS-2.0-Rating von 10/10 auf. Allerdings gilt, laut Oracle, der höchste Schweregrad nur, wenn der attackierte Nutzer Admin-Rechte hat. Ist dies nicht der Fall, zähle die Einstufung 7,5/10. Um die verwundbare libpng-Programmbibliothek kümmert sich ein Java-Fix.

Mit drei Fixes will Oracle GoldenGate sicherer machen. Alle dieser Lücken sollen aus der Ferne ausgenutzt werden können. Außerdem haben zwei davon ein CVSS-2.0-Rating von 10/10 erhalten.

Oracle hat für den 19. April 2016 das nächste Critical Patch Update angekündigt.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE