Data di creazione: 17/01/2024 12:00

Impatto Sistemico

Medio (62.3)

Sintesi

Oracle ha rilasciato il Critical Patch Update di gennaio che descrive 389 vulnerabilità su più prodotti, di cui 18 con gravità “critica”. Tra queste, alcune potrebbero essere sfruttate per eseguire operazioni non autorizzate oppure compromettere la disponibilità del servizio sui sistemi target.

Note (aggiornamento del 25/02/2025) : la vulnerabilità CVE-2024-20953 risulta essere sfruttata attivamente in rete.

Note (aggiornamento del 06/02/2024) : un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2024-20931 risulta disponibile in rete.

Tipologia

• Data Manipulation
• Denial of Service
• Elevation of Privilege
• Information Disclosure
• Remote Code Execution
• Security Restriction Bypass

Prodotti e versioni affette

Oracle

• Analytics
• Audit Vault and Database Firewall
• Big Data Spatial and Graph
• Commerce
• Communications
• Communications Applications
• Construction and Engineering
• Database Server
• E-Business Suite
• Enterprise Manager
• Essbase
• Financial Services Applications
• Fusion Middleware
• Global Lifecycle Management
• GoldenGate
• Graph Server and Client
• Hyperion
• Java SE
• JD Edwards
• MySQL
• NoSQL Database
• PeopleSoft
• REST Data Services
• Retail Applications
• Secure Backup
• Siebel CRM
• SQL Developer
• Supply Chain
• Systems
• TimesTen In-Memory Database
• Utilities Applications

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si consiglia di aggiornare i prodotti all’ultima versione disponibile.

Per approfondimenti sui prodotti interessati e sulle modalità di intervento si consiglia di fare riferimento al bollettino di sicurezza disponibile nella sezione Riferimenti.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica”: