Oracle schließt 248 Lücken in seinen Produkten

Das bedeutet einen neuen Patch-Rekord. Rund 100 der nun beseitigten Schwachstellen lassen sich ohne Authentifizierung aus der Ferne ausnutzen. Für fünf Lecks gilt die höchste Risikobewertung. Sie finden sich in Java SE, JRockit und GoldenGate. In der E-Business-Suite stecken alleine 78 Lücken.

Oracle hat mit seinem jüngsten Critical Patch Update 248 Sicherheitslücken in seinen Produkten geschlossen und damit einen neuen Patch-Rekord aufgestellt. Rund 100 davon können aus der Ferne ohne Authentifizierung ausgenutzt werden. Updates liegen unter anderem vor für Oracles E-Business Suite, Enterprise Manager Grid Control, Fusion Middleware, Sun Systems Products Suite, MySQL, PeopleSoft, Virtualization, Retail Applications, Java SE, JD Edwards, Database Server, Communications Applications, Supply Chain Products Suite, GoldenGate und iLearning.

Zum letzten vierteljährlichen Patchday im Oktober hatte Oracle insgesamt 154 Schwachstellen beseitigt. Im Schnitt stopft es mit jedem Critical Patch Update (CPU) rund 100 Sicherheitslöcher. Allerdings ist die Zahl in den vergangenen Jahren deutlich angestiegen.

Die Zahl der in Oracle-Produkten geschlossenen Lücken ist in den letzten Jahren deutlich angestiegen (Bild: ERPScan).Die Zahl der in Oracle-Produkten geschlossenen Lücken ist in den letzten Jahren deutlich angestiegen (Bild: ERPScan).

Alleine 78 der jetzt geschlossenen 248 Lücken stecken in der Oracle Enterprise Business Suite (EBS). Sie macht damit fast ein Drittel aller Patches aus, während auf Enterprise Manager Grid 14 Prozent und auf Fusion Middleware 11 Prozent entfallen. Oracles Konkurrenzprodukt zu SAP kommt vor allem in großen Konzernen zum Einsatz, fast alle Fortune-500-Unternehmen setzten die Oracle-ERP-Lösung ein.

„Jedes dieser 78 Probleme ist von großer Bedeutung, weil sie allesamt unternehmenskritische Anwendungen auf Basis der E-Business-Suite betreffen, etwa die Value Chain Execution Suite, Value Chain Planning, Advanced Procurement, Supply Chain Management, Project Portfolio Management, Human Capital Management und CRM“, kommentieren Sicherheitsforscher von ERPScan, die laut eigenen Angaben einige der Lecks aufgespürt haben. „Diese Anwendungen speichern und verarbeiten wertvollste Unternehmensdaten wie HR-Informationen, Finanzdaten oder Listen von Lieferanten und Kunden. Im Fall eines erfolgreichen Angriffs kann eine Person mit unlauteren Absichten, Daten zu Materialmengen oder Produktpreise manipulieren, Gelder umleiten und Finanzberichte verändern, um nur einige Beispiele zu nennen.“

ANZEIGE

Die elektronische Signatur auf dem Vormarsch – Wie Unternehmen Prozesse verschlanken und Geld sparen können

Täglich unterschreiben wir Empfangsbestätigungen von Paketen, Mietwagenverträge oder Kreditkartenzahlungen mit elektronischen Unterschriften. Im Geschäftsalltag fühlen sich jedoch insbesondere kleine und mittelständische Unternehmen häufig noch abgeschreckt, elektronische Signaturen einzusetzen. Sofern sie richtig in die passenden Geschäftsprozesse integriert werden, bieten sie aber einen großen Mehrwert und sind verbindlicher als eine Bestätigung per E-Mail.

Die weitere Analyse von ERPScan zeigt aber auch, dass die insgesamt 78 Lecks in 76 Fällen mit moderatem Risiko sowie zwei Lecks mit niedriger Gefährdung eingestuft sind. Der höchste Wert im 10 Punkte umfassenden Common Vulnerability Scoring System (CVSS) liegt für Oracle EBS bei 6,4. Die höchste Risikobewertung von 10,0 gilt im Januar-CPU für insgesamt fünf Schwachstellen. Die meisten davon betreffen Oracle Java SE. Daher sollten Anwender dieses als erstes aktualisieren, rät Oracle.

Die Lecks CVE-2016-0494 und CVE-2015-8126 finden sich in verschiedenen Versionen von Java SE und Java SE Embedded. Sie erlauben einfach auszunutzende Netzwerkangriffe über verschiedene Protokolle. Ein Angreifer kann die Kontrolle über ein Client-System übernehmen und beliebigen Code ausführen. Eine weitere hochkritisches Lücke (CVE-2016-0483) steckt in Java SE sowie in JRockit. Die ebenfalls als kritisch eingestuften Schwachstellen CVE-2016-0451 und CVE-2016-0452 betreffen Oracle GoldenGate. Auch hier kann ein Angreifer das System übernehmen und beliebigen Code ausführen.

In seinem Security-Blog empfiehlt Oracle, die bereitgestellten Patches schnellstmöglich aufzuspielen. Zugleich betont es aber, dass sich keines der Lecks in seinen Datenbank-Produkten derzeit aus der Ferne ausnutzen lasse.

[mit Material von Martin Schindler, silicon.de]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Oracle, Security

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Björn Greif
Autor: Björn Greif
Redakteur ZDNet.de
Björn Greif
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Oracle schließt 248 Lücken in seinen Produkten

Kommentar hinzufügen
  • Am 21. Januar 2016 um 15:28 von Roland Weber

    Verständlich, dass Google von Java SE weg will und mit Android N dann auf OpenJDK umstellt…

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *