Oracleの四半期パッチ公開、データベースやJavaの深刻な脆弱性を修正

[鈴木聖子，ITmedia]

　米Oracleは2018年7月17日（米国時間）、四半期に1度のセキュリティ更新プログラム「Critical Patch Update（CPU）」を公開し、データベースやJavaなど多数の製品に存在する深刻な脆弱（ぜいじゃく）性を修正した。

今回の「Critical Patch Update」で修正される脆弱性は334件（出典：Oracle）

　Oracleのセキュリティ情報によると、今回のCPUでは計334件の脆弱性に対処した。対象となるのはOracle Database Server、Global Lifecycle Management、Fusion Middleware、E-Business Suite、PeopleSoft、Siebel CRM、業界向けアプリケーション、Java SE、Virtualization、MySQL、Sun Systems Products Suiteの各製品。

　このうちJava SEに存在する8件の脆弱性は、いずれもリモートで認証を経ずに悪用される恐れがある。これらの脆弱性は、Java SEの最新バージョン「10.0.2」で修正された。

　その他、データベースやFusion Middleware、PeopleSoft、Sun製品、小売りや金融といった業界向けアプリケーションなどの製品に、危険度が極めて高い脆弱性（共通指標CVSSのベーススコアで「9.8」）が多数存在している。

　また、Hospitality Applicationsでは、Intelなどのプロセッサに発覚した「Spectre」と呼ばれる脆弱性に対処した。現代のプロセッサの設計を突くSpectreや「Meltdown」の脆弱性への対策パッチは、Oracleなどの各社が随時リリースしているが、こうした脆弱性は今後も発覚し続けることが予想されるとOracleは指摘している。

　JavaなどOracle製品では、修正済みの脆弱性を悪用しようとする事案も相次いでおり、ユーザーがパッチの適用を怠ったことによって攻撃を受ける事例も報告されていると同社は強調。ユーザーに対し、サポート対象のバージョンを使用して、パッチは遅滞なく適用するよう強く勧告している。

　次回のCPUは2018年10月16日に公開予定。