Avis du CERT-FR
Objet : Mutiples vulnérabilités des produits Oracle
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- De porter atteinte à l'intégrité des données
- De porter atteinte à la confidentialité des données
- De provoquer un déni de service à distance
Systèmes affectés
- Oracle Application Server 10g ;
- Oracle Collaboration Suite 10g ;
- Oracle Database 9i, 10g et 11g ;
- Oracle E-business Suite Release 11i et 12 ;
- Oracle PeopleSoft Enterprise PeopleTools 8.x.
Description
Huit vulnérabilités affectent Oracle Database, dont sept sont exploitables à distance, mais nécessitent une authentification. Leur exploitation permet de porter atteinte à la disponibilité, à l'intégrité et à la confidentialité des données.
Six vulnérabilités affectent Oracle Application Server, dont cinq sont exploitables à distance sans authentification préalable. Leur exploitation permet de porter atteinte à la disponibilité, à l'intégrité et à la confidentialité des données.
Une vulnérabilité, exploitable sans authentification préalable, concerne Oracle Collaboration Suite et permet de porter atteinte à la confidentialité et à l'intégrité des données.
Sept vulnérabilités sont présentes dans Oracle E-business Suite, dont trois sont exploitables à distance sans authentification préalable. Leur exploitation permet de porter atteinte à la disponibilité, à l'intégrité et à la confidentialité des données.
Quatre vulnérabilités affectent PeopleTools, dont une est exploitable à distance sans authentification préalable. Leur exploitation permet de porter atteinte à la disponibilité, à l'intégrité et à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Oracle du 15 janvier 2008 :
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujan2008.html -
Référence CVE CVE-2007-4467
https://www.cve.org/CVERecord?id=CVE-2007-4467 -
Référence CVE CVE-2008-0339
https://www.cve.org/CVERecord?id=CVE-2008-0339 -
Référence CVE CVE-2008-0340
https://www.cve.org/CVERecord?id=CVE-2008-0340 -
Référence CVE CVE-2008-0341
https://www.cve.org/CVERecord?id=CVE-2008-0341 -
Référence CVE CVE-2008-0342
https://www.cve.org/CVERecord?id=CVE-2008-0342 -
Référence CVE CVE-2008-0343
https://www.cve.org/CVERecord?id=CVE-2008-0343 -
Référence CVE CVE-2008-0344
https://www.cve.org/CVERecord?id=CVE-2008-0344 -
Référence CVE CVE-2008-0345
https://www.cve.org/CVERecord?id=CVE-2008-0345 -
Référence CVE CVE-2008-0346
https://www.cve.org/CVERecord?id=CVE-2008-0346 -
Référence CVE CVE-2008-0347
https://www.cve.org/CVERecord?id=CVE-2008-0347 -
Référence CVE CVE-2008-0348
https://www.cve.org/CVERecord?id=CVE-2008-0348 -
Référence CVE CVE-2008-0349
https://www.cve.org/CVERecord?id=CVE-2008-0349
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 janvier 2008 | version initiale. |
| 29 janvier 2008 | lien Oracle, systèmes affectés. |