Accueil Programmes Gestion des urgences Intervention CCRIC Diffusions analytiques2 AV06-013 : Multiples vulnérabilités dans des produits d’Oracle

Multiples vulnérabilités dans des produits d’Oracle

Numéro : AV06-013
Date : 20 avril 2006

Objet

Le présent avis a pour objet d’attirer l’attention sur de multiples vulnérabilités qui ont été découvertes dans divers produits d’Oracle.

Évaluation

Ces vulnérabilités pourraient être exploitées par des attaquants locaux ou distants afin de causer un déni de service, exécuter des commandes arbitraires, lire ou écraser des fichiers arbitraires, divulguer des informations sensibles, lancer des attaques par injection SQL, ou afin de contourner certaines restrictions de sécurité. Ces problèmes résultent d'erreurs présentes dans différents éléments (p. ex. ModPL/SQL pour Apache ou Email Server).

L’organisme US-CERT a confirmé que la vulnérabilité de la passerelle PL/SQL désignée par le numéro PLSQL01 dans la mise à jour critique d’Oracle correspond à la vulnérabilité décrite dans la note VU#169164 d’US-CERT, qui comprend de plus amples détails et propose des mesures correctives.

Produits touchés:
Oracle9i Database Release 2 version 9.2.0.7
Oracle9i Database Release 2 version 9.2.0.6
Oracle9i Database Release 1 version 9.0.1.5 FIPS
Oracle9i Database Release 1 version 9.0.1.5
Oracle9i Database Release 1 version 9.0.1.4
Oracle9i Collaboration Suite Release 2 version 9.0.4.2
Oracle9i Application Server Release 1 version 1.0.2.2
Oracle8i Database Release 3 version 8.1.7.4
Oracle8 Database Release 8.0.6 version 8.0.6.3
Oracle Workflow versions 11.5.1 à 11.5.9.5
Oracle Pharmaceutical Applications versions 4.5.0 à 4.5.2 Oracle PeopleSoft Enterprise Tools versions 8.47GA à 8.47.04 Oracle PeopleSoft Enterprise Tools versions 8.46GA à 8.46.12 Oracle Enterprise Manager 10g Grid Control version 10.2.0.1 Oracle Enterprise Manager 10g Grid Control version 10.1.0.4 Oracle Enterprise Manager 10g Grid Control version 10.1.0.3 Oracle E-Business Suite Release 11i versions 11.5.1 à 11.5.10 CU2 Oracle E-Business Suite Release 11.0 Oracle Developer Suite version 9.0.4.2 Oracle Developer Suite version 6i
Oracle Database 10g Release 2 version 10.2.0.2
Oracle Database 10g Release 2 version 10.2.0.1
Oracle Database 10g Release 1 version 10.1.0.5
Oracle Database 10g Release 1 version 10.1.0.4.2
Oracle Database 10g Release 1 version 10.1.0.4
Oracle Collaboration Suite 10g Release 1 version 10.1.2.1 Oracle Collaboration Suite 10g Release 1 version 10.1.2.0 Oracle Collaboration Suite 10g Release 1 version 10.1.1 Oracle Application Server 10g Release 2 version 10.1.3.0.0 Oracle Application Server 10g Release 2 version 10.1.2.1.0 Oracle Application Server 10g Release 2 version 10.1.2.0.2 Oracle Application Server 10g Release 2 version 10.1.2.0.1 Oracle Application Server 10g Release 2 version 10.1.2.0.0 Oracle Application Server 10g Release 1 version 9.0.4.2 Oracle Application Server 10g Release 1 version 9.0.4.1 JD Edwards EnterpriseOne Tools versions 8.95 à 8.95.J1 OneWorld Tools versions 8.95 à 8.95.J1

Mesure recommandée

SPPCC recommande aux administrateurs de tester et d’appliquer à la première occasion les mises à jour fournies dans le correctif critique Oracle, avril 2006 (Oracle Critical Patch Update - April 2006).

Liens connexes:
Correctif critique Oracle, avril 2006 (Oracle Critical Patch Update - April 2006) : http://www.oracle.com/technology/deploy/security/pdf/cpuapr2006.html
Alerte de cybersécurité technique TA06-109A de US-CERT :
http://www.us-cert.gov/cas/techalerts/TA06-109A.html
Note VU#169164 de US-CERT :
http://www.kb.cert.org/vuls/id/169164
Avis du Centre de recherche FrSIRT : http://www.frsirt.com/bulletins/4752
Avis de Secunia : http://secunia.com/advisories/19712/

Avis aux lecteurs :

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) recueille des renseignements concernant les menaces et les incidents cybernétiques contre les infrastructures essentielles du Canada. Cela nous permet de surveiller et d'analyser les menaces, de même que de diffuser des alertes, des avis de sécurité et d’autres produits d’information. Pour signaler des menaces ou des incidents, veuillez communiquer avec le Centre des opérations du gouvernement (COG) au (613) 991-7000 ou à l'adresse cog-goc@sppcc-psepc.gc.ca.

L'utilisation non autorisée de systèmes informatiques et les méfaits en matière de données constituent de graves infractions au Code criminel canadien. Toute activité criminelle présumée doit être signalée aux autorités policières locales. Le Centre national des opérations (CNO) de la Gendarmerie royale du Canada (GRC) reçoit de tels rapports 24 heures sur 24 et 7 jours sur 7 ou réachemine les appels aux autorités policières locales. On peut rejoindre le CNO au (613) 993-4460. Les préoccupations liées à la sécurité nationale doivent être transmises au Service canadien du renseignement de sécurité (SCRS) au (613) 993-9620.

En cas de questions urgentes, ou pour signaler des incidents, veuillez communiquer avec le Centre des opérations du gouvernement au:

Téléphone :    (613) 991-7000
Télécopieur :  (613) 996-0995
Télécopieur sécuritaire : (613) 991-7094
Courriel :     goc-cog@sppcc.gc.ca

Pour des renseignements généraux sur la protection des infrastructures essentielles et la protection civile, veuillez communiquer avec la direction des Affaires publiques du SPPCC:

Téléphone : (613) 944-4875 ou 1-800-830-3118
Télécopieur : (613) 998-9589
Courriel : communications@sppcc.gc.ca