PR

 セキュリティ・ベンダー英NGSSoftwareは現地時間12月23日,同社が以前発見したOracle製品のセキュリティ・ホールの詳細を公表した。米Oracleからは米国時間8月31日にセキュリティ情報やパッチが公開されている(関連記事)。既にパッチを適用している場合には問題はないが,適用した覚えがない場合には改めて確認したい。

 NGSSoftwareが発見し,Oracleから情報やパッチが公開されたセキュリティ・ホールは,Oracle 10g/9i/8iなどに関するもの(PDFファイル)。数が多く,危険なセキュリティ・ホールが複数含まれている。NGSSoftwareは,8月31日時点で同社が発見したことは公表したものの,セキュリティ・ホールの詳細については明らかにしてなかった。管理者に,パッチの検証や適用のための時間を与えるためだとしている。

 8月31日時点では,同社は「3カ月の猶予期間を設ける」ということで,詳細の公表日を11月31日としていたが,実際には12月23日に公表した。

 既にパッチを適用している場合には問題はないが,パッチを適用した覚えがない管理者は改めて確認したい。パッチは同社の「metalink」からダウンロードできる。

 併せて同社は,IBM DB2のセキュリティ・ホールの詳細も公表した。こちらについても,同社が発見し,「12月1日までは詳細を明らかにしない」としていたもの。同製品の管理者は,パッチを適用していることを確認してほしい。

◎参考資料
Oracle Trigger Abuse (#NISR2122004I)
Oracle Character Conversion Bugs (#NISR2122004G)
Oracle extproc buffer overflow (#NISR23122004A)
Oracle extproc directory traversal (#NISR23122004B)
Oracle extproc local command execution (#NISR23122004C)
Oracle clear text passwords (#NISR2122004D)
Oracle ISQLPlus file access vulnerability (#NISR2122004E)
Oracle TNS Listener DoS (#NISR2122004F)
Oracle multiple PL/SQL injection vulnerabilities (#NISR2122004H)
Oracle wrapped procedure overflow (#NISR2122004J)
IBM DB2 rec2xml buffer overflow vulnerability (#NISR2122004J)
IBM DB2 generate_distfile buffer overflow vulnerability (#NISR2122004L)

(勝村 幸博=IT Pro)