Mobile-Menu

Exploits trotz vorhandenen Patches Oracle veröffentlicht 334 Sicherheitspatches

Von Melanie Staudacher 2 min Lesedauer

334 Sicherheitsupdates hat Oracle im Oktober für eigene Produkte oder Drittanbieterkomponenten veröffentlicht. Einige kritische davon haben wir für Sie unter die Lupe genommen.

Oracle veröffentlicht Patches für Datenbankprodukte, SD-WAN und weitere Lösungen.(Bild: Dall-E / KI-generiert)
Oracle veröffentlicht Patches für Datenbankprodukte, SD-WAN und weitere Lösungen.
(Bild: Dall-E / KI-generiert)

Beim Oracle Critical Patch Update im Oktober hat der Hersteller insgesamt 334 Update veröffentlicht. Diese beheben teilweise kritische Sicherheitslücken im Oracle-Code und in Drittanbieterkomponenten, die in Oracle-Produkten enthalten sind. Für diese Produkte von Oracle gibt es im Oktober neue Sicherheitsupdates:

  • Oracle-Datenbankprodukte
  • Oracle Application Express
  • Oracle Blockchain Platform
  • Oracle Essbase
  • Oracle GoldenGate
  • Oracle NoSQL Database
  • Oracle Secure Backup
  • Oracle SQL Developer

Für die Produkte Oracle Autonomous Health Framework und Oracle Graph Server und Client gibt es vom Hersteller selbst keine Updates. Allerdings werden Patches von Drittanbietern bereitgestellt.

Viele der Sicherheitslücken haben einen CVSS von 9.0 und höher. Daher empfiehlt Oracle seinen Kunden dringend, aktiv unterstützte Versionen beizubehalten und die Patches schnellstmöglich zu installieren.

Kritische Schwachstellen in Oracles SD-WAN

Auch in verschiedenen SD-WAN-Produkten von Oracle finden sich kritische Sicherheitslücken.

  • CVE-2024-4577 kann von Cyberkriminellen ausgenutzt werden, um den Quellcode von Skripten offenzulegen oder beliebigen PHP-Code auf einem Windows-Server auszuführen. Bei Oracle betroffen ist die Lösung SD-WAN Aware.
  • Auch Oracle SD-WAN Edge ist von einer kritische Sicherheitslücke betroffen. CVE-2023-6816 wurde im X.Org-Server gefunden. Als Folge eines Heap-Überlaufs – einem Pufferüberlauf, der auf einem Heap stattfindet – können Hacker Speicherplätze überschreiben. Das Produkt leidet unter einer weiteren Schwachstelle: CVE-2022-2068 basiert auf einem Fehler in OpenSSL. Die damalige Sicherheitslücke CVE-2022-1292 trat auf, da das Skript c_rehash Shell-Metazeichen nicht richtig bereinigte, um Command Injection zu verhindern. Einige Betriebssysteme verteilen dieses Skript so, dass es automatisch ausgeführt wird. Auf diesen Betriebssystemen ermöglichen es die Sicherheitslücken einem Angreifer, beliebige Befehle mit den Berechtigungen des Skripts auszuführen.
  • Eine weitere kritische Sicherheitslücke in Oracle SD-WAN Edge ist CVE-2022-36760, die den Apache HTTP Server betrifft.

Auch Oracle Banking Digital Experience sowie diverse Communications-Lösungen weisen kritische Sicherheitslücken auf. Bei allen ist erfolgreichen Cyberangreifern die Remote-Codeausführung ohne Authentifizierung möglich.

Oracle mahnt, dass es immer wieder zahlreiche Berichte über Versuche gibt, bei denen diese und weitere Schwachstellen ausgenutzt werden. Obwohl der Hersteller bereits Sicherheitsupdates veröffentlicht hat. In einigen Fällen wurde berichtet, dass Angreifer erfolgreich waren, weil die betroffenen Kunden es versäumt hatten, verfügbare Oracle-Patches anzuwenden. Daher sollten Admins schnellstmöglich diese Versäumnisse nachholen.

(ID:50208609)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte