Patches críticos trimestrais da Oracle emitidos em 15 de abril de 2025

Por

NÚMERO DO AVISO MS-ISAC:

2025-041

DATA(S) DE EMISSÃO:

04/16/2025

VISÃO GERAL:

Várias vulnerabilidades foram descobertas nos produtos Oracle, o que pode permitir a execução remota de código.

SISTEMAS AFETADOS:

  • Autonomous Health Framework, versões 23.8.0-23.11.0, 24.1.0-24.11.0, 25.1.0, 25.2.0
  • GoldenGate Stream Analytics, versões 19.1.0.0.0-19.1.0.0.10
  • JD Edwards EnterpriseOne Tools, versões 9.2.0.0-9.2.9.2
  • Management Cloud Engine, versão 24.3.0
  • MySQL Client, versões 8.0.0-8.0.41, 8.4.0-8.4.4, 9.0.0-9.2.0
  • Cluster MySQL, versões 7.6.0-7.6.33, 8.0.0-8.0.41, 8.4.0-8.4.4, 9.0.0-9.2.0
  • Conectores MySQL, versões 9.0.0-9.2.0
  • MySQL Enterprise Backup, versões 8.0.0-8.0.41, 8.4.0-8.4.4, 9.0.0-9.2.0
  • MySQL Server, versões 8.0.0-8.0.41, 8.4.0-8.4.4, 9.0.0-9.2.0
  • MySQL Shell, versões 8.0.32-8.0.41, 8.4.0-8.4.4, 9.0.0-9.2.0
  • MySQL Workbench, versões 8.0.0-8.0.41
  • Oracle Access Manager, versão 12.2.1.4.0
  • Oracle Agile Engineering Data Management, versão 6.2.1
  • Oracle Application Express, versões 23.2.15, 23.2.16, 24.1.9, 24.1.10, 24.2.3, 24.2.4
  • Oracle Application Testing Suite, versão 13.3.0.1
  • APIs do Oracle Banking, versões 21.1.0.0.0, 22.1.0.0.0, 22.2.0.0.0
  • Oracle Banking Corporate Lending Process Management, versões 14.5.0.0.0-14.7.0.0.0
  • Oracle Banking Digital Experience, versões 21.1.0.0.0, 22.1.0.0.0, 22.2.0.0.0
  • Oracle Banking Liquidity Management, versão 14.7.0.7.0
  • Oracle Banking Origination, versões 14.5.0.0.0-14.7.0.0.0
  • Oracle BI Publisher, versões 7.6.0.0.0, 12.2.1.4.0
  • Oracle Business Activity Monitoring, versão 14.1.2.0.0
  • Oracle Business Intelligence Enterprise Edition, versões 7.6.0.0.0, 12.2.1.4.0
  • Oracle Business Process Management Suite, versões 12.2.1.4.0, 14.1.2.0.0
  • Oracle Coherence, versões 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0
  • Oracle Commerce Guided Search, versões 11.3.2, 11.4.0
  • Oracle Commerce Merchandising, versões 11.3.0, 11.3.1, 11.3.2
  • Oracle Commerce Platform, versões 11.3.0, 11.3.1, 11.3.2, 11.4.0
  • Oracle Communications Billing and Revenue Management, versões 12.0.0.4.0-12.0.0.8.0, 15.0.0.0.0-15.0.1.0.0
  • Função de Suporte à Associação do Oracle Communications Cloud Native Core, versões 24.2.0-24.2.2
  • Oracle Communications Cloud Native Core Certificate Management, versão 24.2.2
  • Console do Oracle Communications Cloud Native Core, versão 24.2.2
  • Oracle Communications Cloud Native Core DBTier, versões 24.2.3, 24.2.4, 24.3.0
  • Função de Análise de Dados de Rede do Oracle Communications Cloud Native Core, versão 24.2.0
  • Oracle Communications Cloud Native Core Network Function Cloud Native Environment, versões 24.2.5, 25.1.100
  • Função de Repositório de Rede do Oracle Communications Cloud Native Core, versão 24.2.3
  • Política Principal Nativa do Oracle Communications Cloud, versões 24.2.0-24.2.4
  • Oracle Communications Cloud Native Core Security Edge Protection Proxy, versões 24.2.2, 24.2.3, 24.3.0
  • Oracle Communications Cloud Native Core Service Communication Proxy, versões 24.2.0, 24.2.3, 24.3.0, 25.1.100
  • Oracle Communications Cloud Native Core Unified Data Repository, versões 22.4.0, 23.1.0-23.4.0, 24.2.3, 25.1.100
  • Oracle Communications Diameter Signaling Router, versão 9.0.0.0
  • Oracle Communications EAGLE Element Management System, versão 46.6
  • Oracle Communications Element Manager, versões 9.0.0-9.0.3
  • Oracle Communications Messaging Server, versão 8.1.0.26.0
  • Solução Oracle Communications MetaSolv, versão 6.3.1
  • Oracle Communications Network Analytics Data Director, versões 24.1.0-24.3.0
  • Oracle Communications Network Charging and Control, versões 12.0.6.0.0, 15.0.0.0.0, 15.0.1.0.0
  • Oracle Communications Network Integrity, versões 7.3.6, 7.4.0, 7.5.0
  • Oracle Communications Operations Monitor, versão 5.2
  • Oracle Communications Order and Service Management, versões 7.4.0, 7.4.1, 7.5.0
  • Oracle Communications Policy Management, versão 15.0.0.0.0
  • Oracle Communications Pricing Design Center, versões 12.0.0.4.0-12.0.0.8.0, 15.0.0.0.0, 15.0.1.0.0
  • Oracle Communications Service Catalog and Design, versões 8.0.0.4.0, 8.1.0.2.0
  • Oracle Communications Session Border Controller, versões 9.2.0, 9.3.0, 10.0.0
  • Oracle Communications Session Report Manager, versões 9.0.0-9.0.3
  • Oracle Communications Unified Assurance, versões 6.0-6.1
  • Oracle Communications Unified Inventory Management, versões 7.4.0-7.4.2, 7.5.0-7.5.1, 7.6.0, 7.7.0
  • Oracle Communications User Data Repository, versões 14.0.0, 15.0.0, 15.0.1, 15.0.2
  • Oracle Data Integrator, versão 12.2.1.4.0
  • Oracle Database Server, versões 19.3-19.26, 21.3-21.17, 23.4-23.7
  • Oracle Demantra Demand Management, versões 12.2.6-12.2.14
  • Oracle Documaker, versões 12.7.1.6, 12.7.2.3, 13.0.0.1
  • Oracle E-Business Suite, versões 12.2.3-12.2.14, [ECC] 12-13
  • Oracle Enterprise Communications Broker, versões 4.1.0, 4.2.0
  • Oracle Enterprise Manager Base Platform, versões 13.5.0.0.0, 24.1.0.0.0
  • Oracle Essbase, versão 21.7.1.0.0
  • Oracle Financial Services Analytical Applications Infrastructure, versões 8.0.7.8, 8.0.8.6, 8.1.1.4, 8.1.2.5
  • Oracle Financial Services Behavior Detection Platform, versões 8.0.8.1, 8.1.2.8, 8.1.2.9
  • Oracle Financial Services Compliance Studio, versão 8.1.2.9
  • Oracle Financial Services Model Management and Governance, versão 8.1.2.7.0
  • Oracle Financial Services Revenue Management and Billing, versões 2.9.0.0.0-7.0.0.0.0
  • Oracle Financial Services Trade-Based Anti Money Laundering Enterprise Edition, versão 8.0.8
  • Oracle Fusion Middleware MapViewer, versão 12.2.1.4.0
  • Oracle GoldenGate, versões 19.1.0.0.0-19.26.0.0.250219, 21.3-21.17, 23.4-23.7
  • Oracle GoldenGate Veridata, versões 12.2.1.4.0-12.2.1.4.241210
  • Oracle GraalVM Enterprise Edition, versões 20.3.17, 21.3.13
  • Oracle GraalVM para JDK, versões 17.0.14, 21.0.6, 24
  • Oracle Graph Server and Client, versões 23.4.3, 23.4.4, 24.3.0, 24.4.0
  • Oracle Hospitality Cruise Shipboard Property Management System, versão 23.2.1
  • Oracle Hospitality Reporting and Analytics, versões 9.1.34-9.1.36
  • Oracle Hospitality Simphony, versões 19.1-19.7
  • Oracle HTTP Server, versões 12.2.1.4.0, 14.1.2.0.0
  • Oracle Hyperion Financial Reporting, versão 11.2.19.0.0
  • Oracle Hyperion Infrastructure Technology, versão 11.2.19.0.0
  • Oracle Java SE, versões 8u441, 8u441-perf, 11.0.26, 17.0.14, 21.0.6, 24
  • Oracle JDeveloper, versão 12.2.1.4.0
  • Oracle Managed File Transfer, versões 12.2.1.4.0, 14.1.2.0.0
  • Oracle NoSQL Database, versões 1.5.0, 1.6.0, 1.6.1
  • Oracle Outside In Technology, versão 8.5.7
  • Oracle Policy Automation, versões 12.2.0-12.2.36
  • Oracle Policy Modeling, versões 12.2.0-12.2.36
  • Oracle REST Data Services, versões 23.1, 23.2, 23.3, 23.4
  • Oracle Retail Order Broker, versão 19.1
  • Oracle Retail Store Inventory Management, versão 16.0.3.16
  • Oracle Retail Xstore Point of Service, versões 19.0.6, 20.0.5, 21.0.4, 22.0.2, 23.0.2, 24.0.1
  • Oracle SD-WAN Aware, versão 9.0.1.11
  • Oracle SD-WAN Edge, versão 9.1.1.9
  • Oracle Secure Backup, versões 12.1.0.1, 12.1.0.2, 12.1.0.3, 18.1.0.0, 18.1.0.1, 18.1.0.2, 19.1.0.0
  • Oracle Service Bus, versão 12.2.1.4.0
  • Oracle Smart View for Office, versão 24.200
  • Oracle SOA Suite, versões 12.2.1.4.0, 14.1.2.0.0
  • Oracle Solaris, versão 11
  • Oracle SQL Developer, versão 24.3.1.347.1826
  • Oracle TimesTen In-Memory Database, versões 22.1.1.1.0-22.1.1.30.0
  • Oracle Utilities Application Framework, versões 4.3.0.3.0-4.3.0.6.0, 4.4.0.0.0, 4.4.0.2.0, 4.4.0.3.0, 4.5.0.0.0, 4.5.0.1.1, 4.5.0.1.3, 24.1.0.0.0-24.3.0.0.0
  • Oracle VM VirtualBox, versão 7.1.6
  • Oracle WebCenter Forms Recognition, versão 14.1.1.0.0
  • Oracle WebCenter Portal, versão 12.2.1.4.0
  • Oracle WebLogic Server, versões 12.2.1.4.0, 14.1.1.0.0
  • Ferramentas de suporte OSS, versões 2.11.0-2.12.46, 8.0-8.18, 18.1-18.4, 19.1-19.4, 20.1-20.4, 22.2, 23.1-23.4, 24.1-24.4, 25.1
  • PeopleSoft Enterprise CC Common Application Objects, versão 9.2
  • PeopleSoft Enterprise HCM Talent Acquisition Manager, versão 9.2
  • PeopleSoft Enterprise PeopleTools, versões 8.60, 8.61, 8.62
  • Primavera Gateway, versões 20.12.0-20.12.17, 21.12.0-21.12.15
  • Primavera P6 Enterprise Project Portfolio Management, versões 22.12.0-22.12.18, 23.12.0-23.12.13, 24.12.0-24.12.2
  • Primavera Unifier, versões 20.12.0-20.12.16, 21.12.0-21.12.17, 22.12.0-22.12.15, 23.12.0-23.12.13, 24.12.0-24.12.3
  • Siebel Applications, versões 17.0-25.2

RISCO:

Governo:

Grandes e médias entidades governamentaisALTO

Governo pequenoALTO

Empresas:

Entidades de grandes e médias empresasALTO

Entidades de pequenas empresasALTO

RECOMENDAÇÕES:

Recomendamos que as seguintes ações sejam tomadas:

  • Aplique patches apropriados ou mitigações apropriadas fornecidas pela Oracle a sistemas vulneráveis imediatamente após o teste apropriado. (M1051: Atualizar software)
  • Salvaguarda 7.1: Estabelecer e manter um processo de gerenciamento de vulnerabilidades: Estabelecer e manter um processo documentado de gerenciamento de vulnerabilidades para ativos corporativos. Revise e atualize a documentação anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Salvaguarda.
  • Salvaguarda 7.2: Estabelecer e manter um processo de correção:Estabeleça e mantenha uma estratégia de correção baseada em risco documentada em um processo de correção, com revisões mensais ou mais frequentes.
  • Safeguard 7.4: Execute o gerenciamento automatizado de patches de aplicativos:Execute atualizações de aplicativos em ativos corporativos por meio do gerenciamento automatizado de patches mensalmente ou com mais frequência.
  • Salvaguarda 7.5: Executar verificações automatizadas de vulnerabilidade de ativos corporativos internos:Execute verificações automatizadas de vulnerabilidades de ativos corporativos internos trimestralmente ou com mais frequência. Realize verificações autenticadas e não autenticadas, usando uma ferramenta de verificação de vulnerabilidades compatível com SCAP.
  • Salvaguarda 7.7: Corrigir vulnerabilidades detectadas:Corrija vulnerabilidades detectadas no software por meio de processos e ferramentas mensalmente ou com mais frequência, com base no processo de correção.
  • Salvaguarda 12.1: Garantir que a infraestrutura de rede esteja atualizada:Certifique-se de que a infraestrutura de rede seja mantida atualizada. Exemplos de implementações incluem a execução da versão estável mais recente do software e/ou o uso de ofertas de rede como serviço (NaaS) com suporte no momento. Revise as versões do software mensalmente, ou com mais frequência, para verificar o suporte ao software.
  • Salvaguarda 18.1: Estabelecer e manter um programa de teste de penetração:Estabelecer e manter um programa de teste de penetração apropriado ao tamanho, complexidade e maturidade da empresa. As características do programa de teste de penetração incluem escopo, como rede, aplicativo Web, Interface de Programação de Aplicativos (API), serviços hospedados e controles de instalações físicas; frequência; limitações, como horas aceitáveis e tipos de ataque excluídos; informações de ponto de contato; correção, como a forma como as descobertas serão roteadas internamente; e requisitos retrospectivos.
  • Salvaguarda 18.2: Executar testes periódicos de penetração externa:Realize testes periódicos de penetração externa com base nos requisitos do programa, pelo menos anualmente. O teste de penetração externa deve incluir reconhecimento corporativo e ambiental para detectar informações exploráveis. O teste de penetração requer habilidades e experiência especializadas e deve ser conduzido por uma parte qualificada. O teste pode ser uma caixa transparente ou uma caixa opaca.
  • Salvaguarda 18.3: Corrigir resultados do teste de penetração:Corrija as descobertas do teste de penetração com base na política da empresa para escopo e priorização de correção.
  • A verificação de vulnerabilidades é usada para encontrar vulnerabilidades de software potencialmente exploráveis para corrigi-las.(M1016: Verificação de vulnerabilidade)
  • Salvaguarda 16.13: Realizar Teste de Penetração de Aplicativos:Realize testes de penetração de aplicativos. Para aplicativos críticos, o teste de penetração autenticado é mais adequado para encontrar vulnerabilidades de lógica de negócios do que a verificação de código e o teste de segurança automatizado. O teste de penetração depende da habilidade do testador de manipular manualmente um aplicativo como um usuário autenticado e não autenticado.
  • Aplique o Princípio do Menor Privilégio a todos os sistemas e serviços e execute todos os softwares como um usuário sem privilégios (sem direitos administrativos) para diminuir os efeitos de um ataque bem-sucedido. (M1026: Gerenciamento de contas privilegiadas)
  • Salvaguarda 4.7: Gerenciar contas padrão em ativos e software corporativos:Gerencie contas padrão em ativos e software corporativos, como raiz, administrador e outras contas de fornecedores pré-configuradas. Exemplos de implementações podem incluir: desabilitar contas padrão ou torná-las inutilizáveis.
  • Salvaguarda 5.4: Restringir privilégios de administrador à conta de administrador dedicadas:Restrinja os privilégios de administrador a contas de administrador dedicadas em ativos corporativos. Realize atividades gerais de computação, como navegação na Internet, e-mail e uso do pacote de produtividade, a partir da conta principal e sem privilégios do usuário.
  • Salvaguarda 5.5: Estabelecer e manter um inventário de contas de serviço:Estabeleça e mantenha um inventário de contas de serviço. O inventário, no mínimo, deve conter o proprietário do departamento, a data de revisão e a finalidade. Executar revisões de conta de serviço para validar se todas as contas ativas estão autorizadas, em uma programação recorrente no mínimo trimestral ou com mais frequência
  • Lembre a todos os usuários de não visitar sites não confiáveis ou seguir links/arquivos abertos fornecidos por fontes desconhecidas ou não confiáveis. (M1017: Treinamento de usuários)
  • Salvaguarda 14.1: Estabelecer e manter um programa de conscientização de segurança:Estabeleça e mantenha um programa de conscientização de segurança. O objetivo de um programa de conscientização de segurança é educar a força de trabalho da empresa sobre como interagir com ativos e dados corporativos de maneira segura. Realize treinamento na contratação e, no mínimo, anualmente. Revise e atualize o conteúdo anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Proteção.
  • Salvaguarda 14.2: Treinar membros da força de trabalho para reconhecer ataques de engenharia social:Treine os membros da força de trabalho para reconhecer ataques de engenharia social, como phishing, pré-mensagens de texto e utilização não autorizada.
  • Use recursos para evitar que padrões de comportamento suspeitos ocorram em sistemas de endpoint. Isso pode incluir comportamento suspeito de processo, arquivo, chamada de API etc. (M1040: Prevenção de comportamento no endpoint)
  • Salvaguarda 13.2 : Implantar uma solução de detecção de intrusão baseada em host: Implante uma solução de detecção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte.
  • Salvaguarda 13.7: Implantar uma solução de prevenção de intrusão baseada em host:Implante uma solução de prevenção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte. Exemplos de implementações incluem o uso de um cliente EDR (Detecção e Resposta de Ponto de Extremidade) ou agente IPS baseado em host.
  • Use recursos para detectar e bloquear condições que possam levar ou ser indicativas da ocorrência de uma exploração de software. (M1050: Proteção contra exploits)
  • Salvaguarda 10.5:Ative os recursos anti-exploração:Habilite recursos antiexploração em ativos e software corporativos, sempre que possível, como® Microsoft Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG) ou Apple® System Integrity Protection (SIP) e Gatekeeper™.

Datalake – Azaeo:

TXT | JSON | JSONLD | XML | HTML | PDF