Oracle veröffentlicht massives Patch-Paket
Insgesamt schließt das Update 104 Lücken, 37 davon in Java. Vier der Java-Lücken schätzt Oracle mit dem höchstmöglichen Schweregrad ein. Betroffen sind die Java-Versionen 5 bis 8.
- Fabian A. Scherschel
Mit seinem Critical Patch Update fĂĽr April hat Oracle 104 SicherheitslĂĽcken in insgesamt 34 verschiedenen Produkten geschlossen. Darunter sind Fixes fĂĽr Java 5,6,7 und auch bereits fĂĽr das vor vier Wochen erschienene Java 8. Des weiteren schlieĂźt die Firma LĂĽcken in Oracle Database 11 und 12, der Fusion Middleware, in Solaris, MySQL und in VirtualBox.
Unter den Sicherheitsupdates befinden sich vier für Lücken mit dem höchstmöglichen CVSS Base Score von 10.0 – diese müssen als sehr kritisch angesehen werden und betreffen die Java Versionen 5 bis 8. Fünf weitere Java-Lücken haben einen Base Score von 9.3, ebenso wie eine Lücke in Oracles Secure Global Desktop.
Insgesamt schließt die Firma 37 Java-Lücken, die bis auf eine Ausnahme über das Netzwerk ausgenutzt werden können; die meisten, ohne dass eine Authentifizierung erfolgen muss. Die Mehrzahl der Java-Lücken wurden vertraulich an Oracle gemeldet. Noch ist nicht klar, wie viele der 30 Lücken, die Sicherheitsexperte Adam Gowdiak am Anfang des Monats veröffentlicht hatte, von Oracle als Teil des Critical Patch Updates geschlossen wurden.
Eine detaillierte Liste aller im Update-Paket enthaltenen Sicherheitsupdates findet sich auf Oracles Webseite zu dem Update. Auf Grund der Schwere der zugrundeliegenden Lücken empfiehlt die Firma ihren Kunden, die Updates so schnell wie möglich einzuspielen.
Siehe dazu auch:
- Java Runtime Environment (JRE) im heise Software-Verzeichnis
- Java Standard Edition (Java SE / JDK) im heise Software-Verzeichnis
