A Oracle lançará uma Atualização de Correção Crítica hoje (16 de julho de 2019), que incluirá sete novas correções para o servidor de banco de dados Oracle, de acordo com um anúncio de pré-lançamento.

“Embora este anúncio de pré-lançamento seja o mais preciso possível no momento da publicação, as informações nele contidas podem mudar antes da publicação do Critical Patch Update Advisory”, escreveu a Oracle.

A Atualização de Patch Crítico é uma coleção de patches para várias vulnerabilidades de segurança, e a atualização de 16 de julho contém 322 novas correções. Seis das vulnerabilidades de segurança foram descobertas pela equipe da Onapsis Research Labs .

“Algumas das vulnerabilidades abordadas nesta Atualização Crítica de Patch afetam vários produtos. Devido à ameaça representada por um ataque bem-sucedido, a Oracle recomenda que os clientes apliquem as correções da Atualização Crítica de Patch o mais rápido possível”, afirmou o anúncio.

Dois dos seis patches diferentes que foram originalmente relatados pela equipe do Onapsis Research Lab abordaram “vulnerabilidades críticas no Oracle E-Business Suite (EBS), que foi profundamente pesquisado pela Onapsis nos últimos anos”, escreveram os pesquisadores. A exploração dessas vulnerabilidades pode permitir a um invasor três cenários críticos que comprometem a integridade e a disponibilidade do EBS: execução remota de código no servidor, execução remota de código no cliente e negação de serviço. ”

As duas vulnerabilidades relatadas pela Onapsis são o upload irrestrito de arquivos, originalmente relatado em novembro de 2018, que leva à execução remota de código (CVSS 9.1) e à falsificação de solicitação do lado do servidor, relatada originalmente em abril de 2019 e que pode levar uma negação de serviço (DoS) e uma execução remota de código do lado do cliente (CVSS 9.6).

Se não forem corrigidas, essas vulnerabilidades têm o potencial de permitir a execução remota e DoS, interrompendo serviços críticos, como um sistema ERP, que converte esse ataque em um crítico, pois afeta toda a disponibilidade, confidencialidade e integridade dos dados.

“Ambas as vulnerabilidades permitem a execução remota de comandos, uma em qualquer cliente EBS e a outra diretamente no lado do servidor. Mesmo que todas as CPUs anunciadas devam ser aplicadas, essas vulnerabilidades críticas devem ser imediatamente resolvidas, e os clientes devem priorizar a implementação dos patches para evitar exploração maliciosa”, afirmou o blog.