「Oracle E-Business Suite 11i」に脆弱性--オラクルがパッチ適用を呼びかけ

　Oracleは、「Oracle E-Business Suite 11i」の診断モジュールのアップグレードをリリースした。セキュリティ企業のIntegrigyによると、これには多数のセキュリティフィックスが含まれているという。

　Integrigyのアドバイザリによると、このアップグレードのリリースにあたり、Oracleは従来とは異なり、自社ユーザーに対してセキュリティパッチに関する警告を行ったという。これまで同社は、製品アップグレードをリリースしても、それにセキュリティ修正が含まれているかどうかを明らかにしない場合がほとんどだったと、Integrigyは述べている。

　Oracleがリリースした「Diagnostics Support Pack February 2006 with Oracle Diagnostics 2.3 RUP A」は、Oracle DiagnosticsのウェブページやJavaクラスに関連したセキュリティ脆弱性に対応するものだ。Oracle DiagnosticsはE-Business Suite 11iのトラブルシューディングモジュールで、IT管理者はアプリケーションを設定する際にこれを利用して検証を行うことができる。

　Integrigyのレポートでは、「深刻なセキュリティ問題となっていたのは、診断モジュールの中に認証なしに実行されるものがあったことだ。これら診断モジュールにかけられた制限を解除するよう設定することも可能だった」とある。

　Oracleが発行したセキュリティパッチは、診断テストへのアクセスを制限することを目的としたものだ。

　Oracleは四半期毎にセキュリティアップデートを公開しているが、「Oracleはこれまで、（アップグレードに）セキュリティフィックスが含まれているかどうかを顧客に知らせていなかった」とIntegrigyはレポートで記している。「Oracleは技術サポートを改善する取り組みの一環として、今回のアップグレードを奨励しているものと、われわれは考えている。Oracleのこのような動きは、修正パッチの適用を加速するだろう」（同レポート）

　Oracleが次にセキュリティアップグレードを行うのは、4月18日の予定だ。

　Oracleに本件に関するコメントを求めたが、現時点で回答は得られていない。