Sistemas Afectados

1. Descripción

   Oracle publicó una actualización crítica en este mes (Octubre del 2005). En donde se cubren más de 85 diferentes vulnerabilidades en diversos productos y componentes de Oracle.

   La actualización de parches crítica provee información sobre los componentes afectados, acceso y autorización requerida, y el impacto de las vulnerabilidades sobre la confidencialidad, integridad y la disponibilidad de los datos. Para más información de los términos utilizados en dicha actualización, los clientes de Metalink deberían de hacer referencia a la Nota 293956.1 de Metalink.
   De acuerdo a esta actualización crítica: "Las nuevas vulnerabilidades en la base de datos tratadas por esta actualización no afectan a las instalaciones sólo de cliente de la Base de datos Oracle (instalaciones que no se tienen el servidor de base de datos). Por lo tanto, no es necesario apicar esta actualización crítica para instalaciones sólo-cliente si ya ha sido aplidada una actualización crítica o alerta 68.
   El UNAM-CERT recomienda que los sitios que estén ejecutando Oracle revisen la actualización crítica, que apliquen los parches, y tomen otras medidas o acciones apropiadas . UNAM-CERT está dando seguimiento a a todos estos temas bajo el nombre UNAM-CERT-2005-497.

2. Impacto

   El impacto de estas vulnerabilidades varía dependiendo del producto, del componente, y, y la configuración del sistema operativo. Las consecuencias potenciales incluyen la ejecución de remota de código o comandos arbitrariamente, revelación de información y negación de servicio. Un atacante que comprometa un servidor de Bases de Datos Oracle podría obtener acceso a información confidencial o sensible.

3. Solución

   Aplicar el parche

   Aplicar los parches o actualizaciones apropiados como se especifica en la actualización crítica de Oracle del mes de Octubre del 2005. Debe notarse que esta actualización solo lista los problemas nuevos corregidos. Las actualizaciones para problemas conocidos anteriormente no están listados.

   Soluciones temporales

   Podría ser posible mitigar algunas vulnerabilidades si se deshabilita o quitan componentes innecesarios, restringiendo el acceso a la red, y restringiendo el acceso a archivos temporales.

   La actualización crítica del mes de octubre 2005, sugiere deshabilitar el PSQL Manager para mitigar las vulnerabilidades en la herramienta PeopleSoft Enterprise y PeopleTools (PSE04)

4. Apéndice A. Información del fabricante

   Oracle

   Por favor ver la actualización crítica del mes de octubre 2005 y las Actualizaciones Críticas y Alertas de Seguridad.

5. Apéndice B. Referencias

   • Actualización crítica del mes de Octubre 2005 -
     <http://www.oracle.com/technology/deploy/security/pdf/cpuoct2005.html>
   • Actualizaciones críticas y Alertas de Seguridad -
     http://www.oracle.com/technology/deploy/security/alerts.htm>
   • Nota MetaLink 293956.1 -
     <http://metalink.oracle.com/metalink/plsql/showdoc?db=Not&id=293956.1>
   • Nota de vulnerabilidad VU#210524 US-CERT -
     <http://www.kb.cert.org/vuls/id/210524>
   • Notas de Vulnreabilidad relacionadas con la actualización crítica del mes de Octubre del 2005 US-CERT-
     <http://www.kb.cert.org/vuls/byid?searchview&query=oracle_cpu_october_2005>
   • Mapa de Vulnerabilidad pública para avisos o alertas -
     http://www.oracle.com/technology/deploy/security/pdf/public_vuln_to_advisory_mapping.html>
   • SecurityFocus BugTraq -
     http://www.securityfocus.com/archive/1/413827/30/0/threaded>

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Ruben Aquino Luna (raquino at seguridad dot unam dot mx)
• Jesús Mauricio Andrade Guzmán (mandrade at seguridad dot unam dot mx)