Oracle Critical Patch Update Advisory - July 2019

概要

Critical Patch Update はセキュリティ脆弱性のための複数のパッチをまとめたものです。 Critical Patch Updateは通常は累積的なパッチですが、各回のアドバイザリでは、前のCritical Patch Updateアドバイザリ以降新たに追加されたセキュリティ修正のみが案内されています。 そのため、過去のセキュリティ修正の情報については、これまでにリリースされたCritical Patch Updateアドバイザリを確認する必要があります。 以前のCritical Patch Updateアドバイザリは、以下のURLから参照いただけます。

Critical Patch Updates, Security Alerts and Bulletins（日本語翻訳ページ）

オラクル社は、すでに修正を提供済みである脆弱性を突いた、悪意ある攻撃に関する報告を周期的に受け取り続けています。 いくつかの例では、利用可能なオラクルのパッチの適用を怠っていたため、攻撃者が成功をしたと報告されています。 そのため、オラクル社は、メンテナンス中のバージョンで運用し、滞りなく Critical Patch Update の修正を適用する事を強く推奨します。

本Critical Patch Update では、以下に記載の全ての製品を通じて３１９の新たなセキュリティ修正が含まれています。 本Critical Patch Update の内容および他の Oracle Software の安全性保証のアクティビティを要約した MOS Note は、July 2019 Critical Patch Update: Executive Summary and Analysisよりご覧ください。

Oracle 社は Oracle WebLogic Server の２つの Security Alerts をリリースしております: CVE-2019-2725 (April 29, 2019) と CVE-2019-2729 (June 18, 2019) です。 WebLogic Server をお使いのお客様には、リリース済みの Alerts と同じ修正を提供する 本 Critical Patch Update に含まれている修正を適用することを強くお勧めいたします。

影響を受ける製品及びコンポーネント

本Critical Patch Updateで対応がなされているセキュリティ脆弱性は、下記にリストされた製品に影響を及ぼします。 製品エリアは、Patch Availability Document カラムに示されています。

パッチの利用可能情報およびインストレーションの説明に関する文書は、下記の Patch Availability Document カラムのリンクをクリックしてご参照ください。

リスク・マトリクス

リスク・マトリクスでは、本アドバイザリで示される新たな脆弱性のみをご案内しています。 以前のセキュリティ修正に対するリスク・マトリクスは、Critical Patch Update advisories（日本語翻訳ページ）から参照いただけます。 文章形式のリスク・マトリクス(英語)はこちらから参照いただけます。

本Critical Patch Updateで案内された脆弱性の幾つかは、複数の製品へ影響を及ぼします。 各脆弱性は、固有のCVE#で識別されています。 複数の製品に影響を及ぼす同一の脆弱性は、全リスク･マトリクス内で同じCVE#で表現されています。 イタリック体で表記されたCVE#は、この脆弱性は異なる製品に影響を及ぼす事が示されており、イタリック体のCVE#がリストされている製品にも影響があります。

セキュリティ脆弱性は CVSS バージョン 3.0 を使用してスコアされています (オラクル社がどのように CVSS 3.0 を適用しているかは Oracle CVSS Scoring をご覧ください)。

オラクル社は、Critical Patch Update によって案内されるそれぞれのセキュリティ脆弱性の分析を行います。 オラクル社は、その分析結果の詳細情報をお客様に公表しませんが、結果をまとめたリスク・マトリクスや関連する文書を通じて、脆弱性のタイプ、脆弱性を悪用するために必要な条件、脆弱性が悪用された場合の影響などの情報を提供します。 オラクル社はこのようにして部分的に情報を公表しますので、お客様はご自身のオラクル製品の利用形態に基づいてリスク分析を行って下さい。 詳細は、Oracle Security Vulnerability Disclosure Policies（日本語翻訳ページ）をご参照ください。

リスク・マトリクスに記載されるプロトコルは、もしセキュリティ形態を持つものがある場合は、そのプロトコルも影響される事を示しています。 たとえば、HTTPが影響を受けるプロトコルに記載されている場合、（使用可能であれば）HTTPSも同様に影響を受けることを示しています。 セキュリティ形態のみが影響を受ける場合には、そのプロトコルのセキュリティ形態がリスク・マトリクスに記載されます。 例えば、HTTPSはSSL/TLSにおける脆弱性のために記載されます。

回避策

攻撃が成功することによってもたらされる危険を鑑み、オラクル社は、出来るだけ早く Critical Patch Update の修正を適用されることを強く推奨します。 お客様の環境によっては、攻撃のために必要となるネットワーク・プロトコルを制限することで、攻撃が成功する危険性を軽減できる可能性があります。 ある特定の権限、または、ある特定のパッケージへのアクセスを必要とする攻撃に対し、その権限を必要としないユーザーから権限またはパッケージへのアクセスを削除することで、攻撃が成功する恐れを低減できる可能性があります。 これらの手法は、アプリケーションの機能を損なう可能性がありますので、オラクル社はこれらの変更を非プロダクション・システム（本番環境ではない環境）でテストされることを強く推奨します。 いずれの手法も、根本的に問題を修正することにはなりませんので、長期にわたって有効な解決策として見なすべきではありません。

Critical Patch Updateの省略

オラクル社はセキュリティ修正をできるだけ早く適用する事を強く推奨しています。 １つまたはそれ以上の Critical Patch Update の適用を行っておらず、今回のCPUでセキュリティ修正のアナウンスが無かった製品について確認をする場合は、以前のCritical Patch Update advisories（日本語翻訳ページ）をご確認ください。

Critical Patch Updateを提供する製品とバージョン

Critical Patch Updateプログラムにより提供されるパッチは、Lifetime Support Policy（日本語翻訳ページ）におけるPremier SupportまたはExtended Support期間にある製品バージョンに対して提供されます。 オラクル社は、Critical Patch Updateプログラムにより提供されるパッチを、確実に入手可能な製品バージョンへのアップグレードを計画されることを推奨します。

Premier SupportまたはExtended Support期間では無い製品リリースでは、本Critical Patch Updateで示されるセキュリティ脆弱性に関する検証を実施しておりません。 しかしながら、影響を受けるリリースの、より初期(earlier)のバージョンでは、これらの脆弱性の影響を受ける恐れがあります。 そのため、サポート中のバージョンへのアップグレードをお勧め致します。

Database、Fusion Middleware、Oracle Enterprise Manager 製品では、Software Error Correction Support Policy, My Oracle Support Note 209768.1（日本語翻訳文書）に従ってパッチが提供されます。 また、各サポートフェーズやサポート方針については、Technical Support Policies（日本語翻訳ページ）をご確認下さい。

謝辞

本Critical Patch Updateに含まれる脆弱性は、次の方々により発見・報告されました(敬称略)。

• Abid Gul Shahid: CVE-2019-2809
• Alexander Kornbrust of Red Database Security: CVE-2019-2776
• Andrej Simko of Accenture: CVE-2019-2666, CVE-2019-2672, CVE-2019-2837
• Andrej Simko of Accenture working with iDefense Labs: CVE-2019-2668, CVE-2019-2672
• Andrzej Dyjak: CVE-2019-2756, CVE-2019-2759, CVE-2019-2764, CVE-2019-2792, CVE-2019-2835, CVE-2019-2852, CVE-2019-2853, CVE-2019-2854, CVE-2019-2855
• Anonymous researcher working with Trend Micro's Zero Day Initiative: CVE-2019-2865
• Anthony Laou Hine Tsuei working with Trend Micro Zero Day Initiative: CVE-2019-2859
• Cornelius Aschermann of Ruhr-University Bochum: CVE-2019-2873, CVE-2019-2874, CVE-2019-2875, CVE-2019-2876, CVE-2019-2877
• Devin Rosenbauer of Identity Works LLC: CVE-2019-2858
• Ephem: CVE-2019-2848
• Fabio Pires of NCC Group: CVE-2019-2735
• Gaston Traberg of Onapsis: CVE-2019-2773, CVE-2019-2775, CVE-2019-2782, CVE-2019-2783, CVE-2019-2829
• Giuseppino Cadeddu of Quantum Leap: CVE-2019-2770
• Hanno Böck: CVE-2019-2760
• huyna of Viettel Cyber Security working with Trend Micro Zero Day Initiative: CVE-2019-2866, CVE-2019-2867
• Jason Matthyser of MWR Labs working with Trend Micro Zero Day Initiative: CVE-2019-2863
• Jayson Grace of Sandia National Laboratories: CVE-2019-2484
• Jonathan Birch of Microsoft Corp.: CVE-2019-2816
• Kamlapati Choubey of Trend Micro working with Trend Micro's Zero Day Initiative: CVE-2019-2827
• Keegan Ryan of NCC Group: CVE-2019-2745
• Lionel Debroux: CVE-2019-2760, CVE-2019-2868, CVE-2019-2869, CVE-2019-2870, CVE-2019-2871
• lofiboy of VinCSS (Vingroup) working with Trend Micro Zero Day Initiative: CVE-2019-2864
• Luca Moro of Synacktiv: CVE-2019-5597, CVE-2019-5598
• Lucas Dinucci: CVE-2019-2861
• Lukasz Mikula: CVE-2019-2599
• Manuel Rigger of Eth Zurich: CVE-2019-2879
• Martin Doyhenard of Onapsis: CVE-2019-2828
• Mathew Nash of NCC Group: CVE-2019-2735
• Matthias Kaiser of Apple Information Security: CVE-2019-2856
• Minle Chen of PingAn Galaxy Lab: CVE-2019-2824
• Mirza Burhan Baig of Dig8Labs: CVE-2019-2823
• Nati Nimni of Microsoft Corp.: CVE-2019-2842
• Or Hanuka of Motorola Solutions: CVE-2019-2732, CVE-2019-2733
• rgod of 9sg Security Team working with Trend Micro's Zero Day Initiative: CVE-2019-2799
• Sarath Nair: CVE-2019-2857
• Sergej Schumilo of Ruhr-University Bochum: CVE-2019-2873, CVE-2019-2874, CVE-2019-2875, CVE-2019-2876, CVE-2019-2877
• Simon Wörner of Ruhr-University Bochum: CVE-2019-2873, CVE-2019-2874, CVE-2019-2875, CVE-2019-2876, CVE-2019-2877
• Steven Seeley of Source Incite working with iDefense: CVE-2019-2727
• Tzachy Horesh of Motorola Solutions: CVE-2019-2732, CVE-2019-2733
• Ubais PK: CVE-2019-2850
• Vahagn Vardanyan: CVE-2019-2767, CVE-2019-2768, CVE-2019-2771
• Vladimir Egorov: CVE-2019-2767, CVE-2019-2768, CVE-2019-2771

Security-In-Depth Contributors

オラクル社は、弊社のSecurity-In-Depthプログラム（FAQ）に貢献して下さった方々に謝意を表明します。 このSecurity-In-Depthプログラムとは、Critical Patch Updateでの対応までは必要としないものの、将来のリリースにおける製品コードやドキュメントの大幅な改変に結びつくようなセキュリティ脆弱性に関する情報の提供、提言、示唆をして下さった方々に、特別の謝意を表明するプログラムです。

本Critical Patch Updateアドバイザリでは、オラクル社は、次の方々のSecurity-In-Depthプログラムへの貢献に謝意を表明します(敬称略)。

• Abbas Mamoun
• Andres Georgieff of Sandia National Laboratories
• Brian Healy of Sandia National Laboratories
• Dasari Narendra
• George R
• Harold Fang
• Juraj Somorovsky of Ruhr-University Bochum
• Marcin Wo?oszyn of ING Services Polska
• Mateusz Jurczyk of Google Project Zero (4 reports)
• Narendra Singh
• Nimrod Aviram
• Peter Dettman of cryptoworkshop.com (2 reports)
• Raju Mogulapalli of Rheem
• Robert Merget of Ruhr-University Bochum
• Tilman Hausherr
• William Bonnaventure of University of Luxembourg (2 reports)

On-Line Presence Security Contributors

オラクル社は、弊社のOn-Line Presence Securityプログラム（FAQ）に貢献して下さった方々に謝意を表明します。 このOn-Line Presence Securityプログラムとは、Oracleの外部向けオンライン・システムの大幅な改変に結びつくようなセキュリティ脆弱性に関する情報の提供、提言、示唆をして下さった方々に、特別の謝意を表明するプログラムです。

この四半期では、オラクル社は、次の方々のOn-Line Presence Securityプログラムへの貢献に謝意を表明します(敬称略)。

• 162187647
• Bartlomiej Bergier
• Bibek Shah
• Jan Kopriva of Alef Nula (2 reports)
• Jonathan Leitschuh
• Markus Wulftange of Code White GmbH
• Naveen Kumar
• Patrick Samuel
• Suhas Nayak
• Wai Yan Aung

Critical Patch Updateのスケジュール

Critical Patch Updateは、１月、４月、７月、１０月の１７日に最も近い火曜日に公開されます。今後４回のCPUの予定です（米国時間におけるOracle Technology Networkへの公開）。

• 2019年10月15日
• 2020年1月14日
• 2020年4月14日
• 2020年7月14日

参照情報

• Oracle Critical Patch Updates, Security Alerts and Bulletins
• Critical Patch Update - July 2019 Documentation Map
• Oracle Critical Patch Updates and Security Alerts - Frequently Asked Questions
• Risk Matrix Definitions
• Use of Common Vulnerability Scoring System (CVSS) by Oracle
• English text version of the risk matrices
• CVRF XML version of the risk matrices
• Map of CVE to Advisory
• Software Error Correction Support Policy

参考情報

• BEA Security Advisories Archive Page  [ Oracle Technology Network ]（日本語翻訳ページ）
• Oracle Technical Support Policies  [ Oracle.com ]（日本語翻訳ページ）
• Oracle Lifetime Support Policies  [ Oracle.com ]（日本語翻訳ページ）

原典

• Oracle Critical Patch Update Advisory - July 2019  [ Oracle Technology Network ]

修正履歴