Oracle opravila 1295 zraniteľností

Spoločnosť Oracle vydala októbrovú aktualizáciu Critical Patch Update, ktorá obsahuje 1 295 bezpečnostných záplat v 129 produktoch, vrátane opráv 89 kritických zraniteľností. Šesť z nich dosiahlo maximálne skóre CVSS 10,0. Mnohé kritické zraniteľnosti môže útočník zneužiť na diaľku, bez potreby autentifikácie.

Zraniteľné systémy:

  • Oracle Analytics
    • Oracle Business Intelligence Enterprise Edition 8.2.0.0.0, 12.2.1.4.0, 26.01.0.0.0
  • Oracle APEX 24.1.0-24.1.21, 24.2.0-24.2.20, 26.1.0-26.1.4
  • Oracle Autonomous Health Framework 26.3-26.8
  • Oracle Communications
    • Oracle Communications BRM – Elastic Charging Engine15.0.0.0.0, 15.0.1.0.0, 15.1.0.0.0, 15.2.0.0.0
    • Oracle Communications Cloud Native Core Binding Support Function 25.2.200, 25.2.201
    • Oracle Communications Cloud Native Core Certificate Management 26.1.200
    • Oracle Communications Cloud Native Core Console 25.2.202,26.1.200
    • Oracle Communications Cloud Native Core Security Edge Protection Proxy 25.2.200, 26.1.200
    • Oracle Communications Cloud Native Core Policy 25.2.200
    • Oracle Communications Cloud Native Core Unified Data Repository 25.2.200,26.1.200
    • Oracle Communications Policy Management 15.0.0.0.0, 15.1.0.0.0
    • Oracle Communications Unified Assurance 6.1.1-7.0.0
    • Oracle Communications Billing and Revenue Management 15.0.0.0.0, 15.0.1.0.0, 15.1.0.0.0, 15.2.0.0.0
    • Oracle Communications Service Catalog and Design 8.0-8.1
  • Oracle Database Server
    • RDBMS (OpenSSL) 19.3-19.32, 23.4.0-23.26.3
  • Oracle E-Business Suite
    •  Workflow 12.2.3-12.2.15
    • Oracle Application Object Library 12.2.3-12.2.15
    • Oracle Mobile Field Service 12.2.3-12.2.15
    • Oracle Product Workbench 12.2.3-12.2.15
  • Oracle Enterprise Manager
    • Oracle Enterprise Manager for Oracle Database 13.5, 24.1
  • Oracle Essbase 21.8.3.0.0
  • Oracle Fusion Middleware
    • Oracle Access Manager 12.2.1.4.0, 14.1.2.1.0
    • Oracle SOA Suite 12.2.1.4.0, 14.1.2.0.0
    • Oracle Business Process Management Suite 12.2.1.4.0, 14.1.2.0.0
    • Oracle Outside In Technology 8.5.8
    • Oracle Data Integrator 12.2.1.4.0, 14.1.2.0.0
    • Oracle Fusion Middleware 12.2.1.4.0, 14.1.2.0.0
    • Oracle Identity Manager 12.2.1.4.0, 14.1.2.1.0
    • Oracle Identity Manager Connector 12.2.1.4.0, 14.1.2.1.0
    • Oracle Managed File Transfer 12.2.1.4.0, 14.1.2.0.0
    • Oracle Middleware Common Libraries and Tools 12.2.1.4.0, 14.1.2.0.0
    • Oracle WebCenter Content 12.2.1.4.0, 14.1.2.0.0
    • Oracle WebCenter Sites 12.2.1.4.0, 14.1.2.0.0
    • Oracle WebLogic Server 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0
    • Oracle HTTP Server 12.2.1.4.0, 14.1.2.0.0
    • Helidon 4.0.0-4.5.5
    • Oracle Global Lifecycle Management NextGen OUI Framework 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 14.1.2.1.0, 15.1.1.0.0
  • Oracle HealthCare Applications
    • Oracle Health Sciences Information Manager Oracle Health Sciences Information Manager 4.0.0-4.0.3
    • Oracle Healthcare Master Person Index 5.0.0.0-5.0.9.7
  • Oracle JD Edwards
    • JD Edwards EnterpriseOne Orchestrator 9.2.0.0-9.2.26.5
    • JD Edwards EnterpriseOne Tools 9.2.0.0-9.2.26.5
  • Oracle MySQL
    • MySQL Enterprise Backup 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0
    • MySQL Server 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0-26.7.1
    • MySQL Cluster 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0-26.7.1
  • Oracle PeopleSoft
    • PeopleSoft Enterprise PeopleTools 8.61-8.63
  • Oracle Secure Backup 19.1.0.0.0, 19.1.0.1.0
  • Oracle Siebel CRM
    • Siebel CRM Cloud Applications 17.0-26.9
    • Siebel CRM End User 17.0-26.9
    • Siebel CRM Deployment 17.0-26.9
  • Oracle Supply Chain
    • Oracle Agile Product Lifecycle Management for Process 6.2.4
  • Oracle Systems
    • Oracle Solaris 11.3, 11.4
  • Oracle Trusted Answer Search
    • Oracle Trusted Answer Search 26.1

Pozn.: uvedený zoznam obsahuje iba produkty Oracle, v ktorých boli opravené kritické zraniteľnosti.

Opis činnosti:

Spoločnosť Oracle vydala októbrovú aktualizáciu Critical Patch Update, ktorá obsahuje 1 295 bezpečnostných záplat vrátane opráv 89 kritických zraniteľností. Šesť z nich dosiahlo maximálne skóre CVSS 10,0.

Mnohé kritické zraniteľnosti sú sieťovo zneužiteľné prostredníctvom protokolov HTTP, HTTPS, T3, IIOP alebo TLS a pri úspešnom útoku môžu viesť k narušeniu dôvernosti, integrity alebo dostupnosti dotknutých systémov. Útočník sa zvyčajne nepotrebuje autentifikovať.

CVE-2026-87337 (CVSS skóre 10,0)

Zraniteľnosť Oracle Access Manager sa nachádza v komponente Authentication Engine. Zneužiť ju môže vzdialený neautentifikovaný útočník cez protokol HTTP, čím získa prístup k údajom, vrátane možnosti vytvárať, meniť a mazať kritické údaje. Úspešný útok môže významne ovplyvniť aj ďalšie produkty.

CVE-2026-91216 (CVSS skóre 10,0)

Zraniteľnosť Oracle SOA Suite sa nachádza v komponente Fabric Layer. Zneužiť ju môže vzdialený neautentifikovaný útočník cez protokoly T3 a IIOP, čím môže prevziať kontrolu nad zraniteľnou aplikáciou. Úspešný útok môže významne ovplyvniť aj ďalšie produkty.

CVE-2026-91221 (CVSS skóre 10,0)

Zraniteľnosť Oracle SOA Suite sa nachádza v komponente Fabric Layer. Zneužiť ju môže vzdialený neautentifikovaný útočník cez protokoly T3 a IIOP, čím môže prevziať kontrolu nad zraniteľnou aplikáciou. Úspešný útok môže významne ovplyvniť aj ďalšie produkty.

CVE-2026-91231 (CVSS skóre 10,0)

Zraniteľnosť Oracle SOA Suite sa nachádza v komponente Adapters. Zneužiť ju môže vzdialený neautentifikovaný útočník cez protokol HTTP, čím môže prevziať kontrolu nad zraniteľnou aplikáciou. Úspešný útok môže významne ovplyvniť aj ďalšie produkty.

CVE-2026-91299 (CVSS skóre 10,0)

Zraniteľnosť JD Edwards EnterpriseOne Orchestrator sa nachádza v komponente E1 IOT Orchestrator Security. Zneužiť ju môže vzdialený neautentifikovaný útočník cez protokol HTTP, čím môže prevziať kontrolu nad zraniteľnou aplikáciou. Úspešný útok môže významne ovplyvniť aj ďalšie produkty.

CVE-2026-101809 (CVSS skóre 10,0)

Zraniteľnosť E-Business Suite Workflow sa nachádza v komponente Workflow Notification Mailer. Zneužiť ju môže vzdialený neautentifikovaný útočník cez protokol HTTP, čím môže prevziať kontrolu nad zraniteľnou aplikáciou. Úspešný útok môže významne ovplyvniť aj ďalšie produkty.

Možné škody:

  • Únik citlivých informácií
  • Nedostupnosť služby (DoS)
  • Prevzatie kontroly nad aplikáciou

Odporúčania:

Bezodkladná aplikácia príslušných bezpečnostných záplat podľa inštrukcií výrobcu.

Odkazy: