Oracle reagiert (ein bisschen) auf verplapperte Sicherheitslücke
Oracle liefert keinen Patch, sondern nennt mögliche Gegenmaßnahmen und stellt den Nutzern der Cluster-Funktionen eine kostenlose Lizenz für die Verschlüsselungsfunktionen in Aussicht, die man normalerweise sehr teuer separat erwerben muss.
Nachdem bekannt wurde, dass so gut wie alle Oracle-Datenbank-Server für eine Sicherheitslücke anfällig sind, die Oracle zwar seit mindestens 4 Jahren bekannt, aber immer noch keinen Patch wert ist, hat der Datenbankhersteller jetzt mit einer Alarmmeldung reagiert. Die beschreibt mögliche Gegenmaßnahmen und stellt den Nutzern der Cluster-Funktionen eine kostenlose Lizenz für die Verschlüsselungsfunktionen in Aussicht, die man normalerweise sehr teuer separat erwerben muss.
Ob und wann Oracle das Problem noch richtig fixen wird, ist nach wie vor ungewiss; weder im Sicherheitsalarm noch in einem parallel veröffentlichte Blog-Beitrag ist von Patches für aktuelle Versionen die Rede. Der Oracle-Sicherheitsexperte Alexander Kornbrust vermutet sogar, "dass jetzt wo es einen Workaround gibt, nach Oracles Ansicht, kein Patch mehr [..] notwendig ist".
Weitere Details und Hintergrund-Informationen zu der Sicherheitslücke und zu Oracles Reaktion sowie das Diskussionsforum bringt heise Security:
(jk)
