オラクルがデータベースサーバに対するパッチ群を公開

　Oracleが四半期ごとにリリースしているCritical Patch Update（CPU）を公開した。これは2009年1回目のCPUにあたる。このCPUでは同社の幅広いデータベースサーバ製品に存在する、41件の脆弱性に対するパッチを提供している。

　2009年1月のCPUに含まれているのは、同社の主力データベース製品ラインに対する20件の新たなセキュリティ修正、Oracle Application Serverに対する4件のセキュリティ修正、Oracle Secure Backupに対する9件のセキュリティ修正、Oracle Application Suiteに対する4件のセキュリティ修正、そしてPeopleSoftおよびJDEdwards Suiteに対する6件のセキュリティ修正だ。

　Oracle Databaseに関する主要なパッチの説明を以下に示す。

• 10件の新たなセキュリティ修正が、Oracle Databaseに対するものだ。これらの脆弱性の中に、認証なしでリモートから悪用可能なものは存在しない。つまり、ユーザー名とパスワードなしでネットワーク越しに悪用されることはない。これらの修正のうち2件は、クライアントのみの構成に対し適用されるものだ。つまり、Oracle Databeseがインストールされていない構成にのみ適用される。
• 9件の新たなセキュリティ修正が、Oracle Secure Backup製品に対するものだ。これらの脆弱性はすべて認証なしでリモートから悪用可能であり、ユーザー名とパスワードなしでネットワーク越しに悪用される可能性がある。
• 1件の新たなセキュリティ修正が、Oracle TimesTen Data Serverに対するものだ。この脆弱性は認証なしでリモートから悪用可能であり、ユーザー名とパスワードなしでネットワーク越しに悪用される可能性がある。

　Red Database SecurityのAlexander Kornbrust氏によれば、重大なバグの多くはdbms_ijobの特権を持つユーザー（たとえば、DBAやDBA特権を持つハッカーあるいはユーザー）が、Oracle Auditingを完全にバイパスすることを可能にしてしまうものだという。

　これは、AUD$やオペレーティングシステムにまったく痕跡が残らないということを意味している。すべてのデータベースにこの問題の影響がある。

　Oracleの勧告には、すべての脆弱性に関するCVSSスコアを含む、Risk Matrixの定義が含まれている。