セキュリティ勧告: (CVE-2009-1005)
概要: Oracle Data Service IntegratorおよびAquaLogic Data Services Platformの権限の昇格の脆弱性
影響を受ける製品: WebLogic Server
Oracleでは、潜在的なセキュリティの問題を最も緊急度の高い問題として取り扱い、お客様のすべての資産のセキュリティを確保するために可能な限りの措置を講じます。結果として、弊社では以下の対処策を強く提案します。
I. 以下の勧告に目を通します。
II. 対処方法を適用します。
III. 今後のセキュリティ勧告に関心をお持ちのユーザをご存知の場合は、この勧告に含まれる登録に関する手順をぜひ転送してください。
I. 勧告
Oracle Data Service IntegratorおよびAquaLogic Data Services Platformの脆弱性により、権限の昇格が発生する可能性があります。
II. 影響およびCVSS評価
CVSS評価値: 4.1
攻撃元区分 (AV): ローカル
攻撃条件の複雑さ (AC): 中
攻撃前の認証要否 (Au): シングル
影響: 機密性、完全性、可用性の一部が影響を受ける
CVSS基本値区分: (AV:L/AC:M/Au:S/C:P/I:P/A:P)
Usage of CVSS by Oracle:
http://www.oracle.com/technology/deploy/security/cpu/cvssscoringsystem.htm
III. 影響を受けるバージョン
この脆弱性の影響を受けるのは、Oracle Data Service IntegratorおよびAquaLogic Data Services Platformの次に示すバージョンです。
- AquaLogic Oracle Data Service Integrator 10.3.0 (全プラットフォーム対象)
- AquaLogic Data Services Platform 3.2 (全プラットフォーム対象)
- AquaLogic Data Services Platform 3.0.1 (全プラットフォーム対象)
- AquaLogic Data Services Platform 3.0 (全プラットフォーム対象)
IV. 対処方法
Oracleでは、以下の一連の対処方法に従うことを強く推奨します。
Oracle Data Service Integrator 10.3.0
Smart Update toolを使用して、8268258のパッチをインストールします。
AquaLogic Data Services Platform 3.2
Smart Update toolを使用して、8272933のパッチをインストールします。
AquaLogic Data Services Platform 3.0.1
Smart Update toolを使用して、8284035のパッチをインストールします。
AquaLogic Data Services Platform 3.0
Smart Update toolを使用して、8280181のパッチをインストールします。
セキュリティに関する伝達方針
Oracleは、当社のすべてのセキュリティ勧告で推奨される修正をお客様が適用されることを強く提案します。またOracleは、お客様にすべてのサービス/メンテナンスパックをリリース後直ちに適用していただくことも強く要請します。サービス/メンテナンスパックには、以前の各サービス/メンテナンスパックに加えて、製品の各バージョンに対するすべてのバグ修正が累積的に含まれています。サービス/メンテナンスパックおよびサービス/メンテナンスパックについての情報は次の場所で公開しています。
http://www.oracle.com/technology/global/jp/software/products/ias/bea_main.html
注: Oracle Data Service Integratorのセキュリティについての情報は、 http://download.oracle.com/docs/cd/E13162_01/odsi/docs10gr3/admin/security.htmlをご覧ください。
注: WebLogic ServerおよびWebLogic Expressのセキュリティについての情報は、 http://otndnld.oracle.co.jp/document/products/wls/docs103/security.htmlをご覧ください。特定のプロダクション環境のセキュリティに関する情報については、 http://otndnld.oracle.co.jp/document/products/wls/docs103/lockdown/index.htmlをご覧ください。Oracleは、サーバのデプロイメントが安全にコンフィグレーションされていることをお客様が確信できるように、このドキュメントに再度目を通されることを強くお勧めします。
Oracle製品にセキュリティ関連の問題が存在する場合、Oracleは必要な勧告および指示を、適切な対処策とともに配信させていただく方針です。お客様のサイト、データ、およびコードのセキュリティは当社にとって最優先事項ですので、セキュリティ関連の問題はすべて包み隠さずはっきりとお伝えすることを約束します。
過去のすべての勧告は、
http://www.oracle.com/technology/global/jp/deploy/security/beaarchive.htmlでご覧いただけます。
製品の勧告の配信登録を新しく希望するユーザは、
http://www.oracle.com/technology/global/jp/deploy/security/alerts.htmの登録に関する指示に従ってください。
セキュリティ関連の問題をOracleに報告するには、
http://www.oracle.com/technology/global/jp/deploy/security/alerts.htmの指示に従ってください。
Printer View