「Oracle Outside In」の脆弱性に注意 - Oracle以外の製品にも影響

Oracleは、1月に公開した「クリティカルパッチアップデート（CPU）」で「Oracle Outside In」の脆弱性を修正した。同ソフトは他ベンダー製品でも広く利用されており、注意が必要だ。

「Oracle Outside In」は、500種類以上のファイル形式に対応しているファイルフォーマットを変換するためのソフトウェア開発キット（SDK）。

「同8.5.2」および以前のバージョンにおいて、「wk4ファイル」の取り扱いに脆弱性「CVE-2015-6013」が含まれるほか、「docファイル」処理に「CVE-2015-6014」、「Paradox DBファイル」の処理に「CVE-2015-6015」が存在。細工されたファイルを開くと、バッファオーバーフローが発生し、リモートよりコードを実行されるおそれがある。

CERT/CCでは、脆弱性の影響を受ける製品の例として、「Oracle Fusion Middleware」のほか、「Microsoft Exchange」「Google Search Appliance」「Guidance Encase Forensics」「AccessData FTK」「Novell Groupwise」を挙げているほか、Cisco SystemsやMcAfee、IBM、Aviraなどの一部製品も影響を受けるとしている。

CERT/CCでは、CPUの適用を呼びかけるとともに、Enhanced Mitigation Experience Toolkit（EMET）による緩和策を案内している。

（Security NEXT - 2016/01/28 ） ツイート

PR

関連記事

LLM基盤「SGLang」に脆弱性 - API外部公開で高リスク
米当局、脆弱性8件の悪用確認 - 4件は3日以内の緊急対応求める
「SKYSEA Client View」などに権限昇格の脆弱性 - 修正を呼びかけ
「Junos OS」などに脆弱性 - 運用スクリプトを許可する環境に影響
オムロン製UPSのWindows向け管理アプリに脆弱性 - 修正版が公開
エラー追跡ツール「Sentry」に脆弱性 - アカウント乗っ取りのおそれ
ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開
「Apache ActiveMQ」にRCE脆弱性 - 悪用が確認され「KEV」にも登録
「Cisco ISE」に複数の深刻な脆弱性 - 一部修正パッチを準備中
「Ivanti Neurons for ITSM」に脆弱性 - アップデートを提供