セキュリティアラート

セキュリティ情報

オラクル社が提供する製品は、原則としてセキュリティが確保されております。しかし、極稀に重大なセキュリティ上の脆弱性が発見されることがあります。オラクル社はこの脆弱性の修復のため迅速な行動をとり、最終的に、脆弱性の簡潔な説明、それによるリスク、回避策とパッチの提供時期を盛り込んだ「セキュリティ情報」を発行します。

「セキュリティ情報」はこのページとOiSC（※参照）に掲載され、このページに掲載されたセキュリティ情報は、オラクル製品のセキュリティ対策のために自由にお使いになることができます。セキュリティに関するパッチは、OiSCからダウンロードすることができます。

オラクル社では四半期ごとに提供する「Critical Patch Updates」を基盤にした新しいセキュリティ・パッチの提供方法をお客様向けに発表しました。これは、全世界のお客様を対象に2005年より開始されます。

• 「Critical Patch Updates」に関する一般的なFAQ
• ニュースリリース「オラクルが、四半期毎の修正プログラム提供方針を新たに採用」
• CPU公開予定日一覧（米国時間）

オラクル社は、セキュリティに対する脆弱性に関して、お客様のご協力による情報提供を頂いており、大変感謝しております。これによりオラクル社は迅速にその問題に対処することができます。製品等における脆弱性が発見された場合、日本オラクルとサポート契約をお持ちのお客様はMetalinkにログインし、サービス・リクエスト(SR)を使ってご連絡をお願いします。それ以外の場合は詳細情報をSECALERT_JP@oracle.com 宛にご連絡ください。

※OiSC（Oracle Internet Support Center の略）
http://support.oracle.co.jp/

上記OiSCではセキュリティ情報や、その他の各種情報の取得、TARの登録をすることができます。パッチのダウンロード、TARの登録にはメンテナンスサポート契約が必要です。

• オラクル・セキュリティ・アラートについてのコミットメント
  （アラート情報内容および御提供頂いた情報の扱いについて）
• 米国側PDF資料における深刻度表示について

2006年10月以降に米国オラクルが公開しているCPU（Critical Patch Update）に付随するRisk Matrixでは各脆弱性の深刻度をCVSS（Common Vulnerability Scoring System) に基づいて算出・表示されています。CVSSは情報システムの脆弱性に対するオープンで包括的、汎用的な評価手法の確立と普及を目指し、米国家インフラストラクチャ諮問委員会（NIAC:National Infrastructure Advisory Council ）のプロジェクトで2004年10月に原案が作成されました。

現在CVSSの管理母体はFIRST(Forum of Incident Response and Security Teams)となっておりCVSS-SIG(Special Interest Group)で適用推進や仕様改善が行われています。CVSSの詳細については下記IPAホームページなどをご参照下さい。

共通脆弱性評価システムCVSS概説

• Critical Patch UpdateとSecurity Alerts(セキュリティ・アラート)で提供される情報の方針声明