Kritik an Oracles Umgang mit Sicherheitslücken

Sicherheits-Experte veröffentlicht sechs nicht geschlossene Lücken

Alexander Kornbrust, Sicherheits-Spezialist für Oracle-Software, kritisiert den Software-Hersteller wegen dessen Umgang mit Sicherheitslücken und veröffentlichte zugleich sechs Advisories zu Sicherheitslücken in Oracle Forms und Reports, die derzeit nicht behoben sind.

Artikel veröffentlicht am ,

Er habe die nicht geschlossenen Sicherheitslücken veröffentlicht, da Oracle nach über 650 Tagen nicht in der Lage oder Willens war, diese Fehler zu korrigieren. Darunter auch nach Ansicht von Kornbrust kritische Sicherheitslücken: Eine erlaube es, den Oracle Application Server via Internet zu zerstören, indem beliebige Dateien überschrieben werden.

Stellenmarkt
  1. UX Designer (m/w/d)
    Interhyp Gruppe, München
  2. IT-Ermittler/IT-Forensiker (w/m/d)
    Landesamt für Steuern Niedersachsen, Hannover, Braunschweig
Detailsuche

Die jetzt von Kornbrust veröffentlichten Sicherheitslücken seien aber nur Teil seiner immer noch offenen Liste von Fehlern aus dem Jahr 2003. Eine Liste von weiteren offenen Fehlern findet sich auf den Seiten von Kornbrusts Firma Red Database Scurity.

Am 15. April 2005 habe er Oracles Security-Team darüber informiert, dass er seine Sicherheitslücken veröffentlichen werde, falls diese nicht im Juli-Patch beseitigt werden. Dieses erschien am 12. Juli 2005, behob die Fehler aber nicht. Er habe Oracle auch weitere Zeit angeboten, falls es nicht möglich sei, die Fehler in den rund drei Monaten zu korrigieren. Oracle habe ihn aber nie wegen zusätzlicher Zeit angesprochen.

Den Schritt, die Lücken zu veröffentlichen, habe er sich gut überlegt. Zwar gebe es keine Patches von Oracle, aber relativ einfache Workarounds, die vor diesen Lücken schützen.

Golem Karrierewelt
  1. Deep Dive: Data Governance Fundamentals: virtueller Ein-Tages-Workshop
    22.02.2023, Virtuell
  2. Go für Einsteiger: virtueller Zwei-Tages-Workshop
    23./24.01.2023, Virtuell
Weitere IT-Trainings

Die einzelnen Advisories finden sich in der Liste der veröffentlichten Security Alerts unter red-database-security.com.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Apollon-Plattform
DE-CIX wagt umfassendstes Netzwerkupgrade seiner Geschichte

Das Upgrade zum Ausfiltern von Netzwerkrauschen erfolgte innerhalb nächtlicher Wartungsfenster bei laufendem Betrieb.

Apollon-Plattform: DE-CIX wagt umfassendstes Netzwerkupgrade seiner Geschichte
Artikel
  1. Ada Lovelace: Nvidia senkt Preise für Geforce RTX 4080 und RTX 4090
    Ada Lovelace
    Nvidia senkt Preise für Geforce RTX 4080 und RTX 4090

    Kurz vor dem Launch der AMD-Konkurrenz passt Nvidia die Preise der eigenen Grafikkarten an. Das liegt auch an einem stärkeren Euro.

  2. Elektronische Identität: EU-Staaten einigen sich auf digitale Brieftasche
    Elektronische Identität
    EU-Staaten einigen sich auf digitale Brieftasche

    Die Einführung einer EU-weiten digitalen Identität rückt näher.

  3. Kids für Alexa im Test: Alexa, wer hat den Kindermodus verbockt?
    Kids für Alexa im Test
    Alexa, wer hat den Kindermodus verbockt?

    Amazon bietet neuerdings einen speziellen Kindermodus für Alexa an. Das soll Eltern in Sicherheit wiegen, die sollten sich aber besser nicht darauf verlassen.
    Ein Test von Ingo Pakalski

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Amazon Last Minute Angebote: Games & Zubehör, AVM-Router • Saturn-Weihnachts-Hits: Rabatt-Angebote aus allen Kategorien • Laptops bis zu 41% günstiger bei Saturn • PS5 Disc Edition inkl. GoW Ragnarök wieder vorbestellbar bei Amazon 619€ • ViewSonic 32" WQHD/144 Hz 229,90€ [Werbung]
    •  /