S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

Paris, le 13 janvier 2010
N^o CERTA-2010-AVI-010

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Multiples vulnérabilités dans des produits Oracle

Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-010

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2010-AVI-010
Titre	Multiples vulnérabilités dans des produits Oracle
Date de la première version	13 janvier 2010
Date de la dernière version	-
Source(s)	Bulletin de sécurité Oracle du 13 janvier 2010
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance ;
déni de service à distance.

2 Systèmes affectés

Oracle Database 11g, version 11.1.0.7 ;
Oracle Database 10g Release 2, versions 10.2.0.3, 10.2.0.4 ;
Oracle Database 10g, version 10.1.0.5 ;
Oracle Database 9i Release 2, versions 9.2.0.8, 9.2.0.8DV ;
Oracle Application Server 10g Release 3 (10.1.3), versions 10.1.3.4.0, 10.1.3.5*, 10.1.3.5.1* ;
Oracle Application Server 10g Release 2 (10.1.2), version 10.1.2.3.0 ;
Oracle Access Manager versions 7.0.4.3, 10.1.4.2 ;
Oracle E-Business Suite Release 12, versions 12.0.4, 12.0.5, 12.0.6, 12.1.1 et 12.1.2 ;
Oracle E-Business Suite Release 11i, version 11.5.10.2 ;
PeopleSoft Enterprise HCM (TAM), versions 8.9 et 9.0. ;
Oracle WebLogic Server 10.0 à 10.0 MP2, 10.3.0 et 10.3.1 ;
Oracle WebLogic Server 9.0 GA, 9.1 GA et 9.2 à 9.2 MP3 ;
Oracle WebLogic Server 8.1 à 8.1 SP6 ;
Oracle WebLogic Server 7.0 à 7.0 SP7 ;
Oracle JRockit R27.6.5 et versions antérieures (JDK/JRE 6, 5, 1.4.2) ;
Primavera P6 Enterprise Project Portfolio Management 6.1, 6.2.1 et 7.0 ;
Primavera P6 Web Services 6.2.1, 7.0 et 7.0SP1.

3 Résumé

De multiples vulnérabilités ont été corrigées dans les produits Oracle. L'exploitation de ces vulnérabilités permet de réaliser diverses actions malveillantes, dont l'exécution de code arbitraire à distance.

4 Description

De nombreuses vulnérabilités ont été corrigées dans les produits Oracle suivants :

Oracle Database ;
Oracle Application Server ;
Oracle Access Manager ;
Oracle E-Business Suite ;
PeopleSoft Enterprise HCM (TAM) ;
Oracle WebLogic Server ;
Oracle JRockit ;
Primavera P6 Enterprise Project Portfolio Management ;
Primavera P6 Web Services.

L'exploitation de ces vulnérabilités permet de réaliser diverses actions malveillantes, dont l'exécution de code arbitraire à distance.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Bulletin de sécurité Oracle du 13 janvier 2010 :

http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujan2010.html

Référence CVE CVE-2009-1996 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1996

Référence CVE CVE-2009-2625 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2625

Référence CVE CVE-2009-3410 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3410

Référence CVE CVE-2009-3411 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3411

Référence CVE CVE-2009-3412 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3412

Référence CVE CVE-2009-3413 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3413

Référence CVE CVE-2009-3414 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3414

Référence CVE CVE-2009-3415 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3415

Référence CVE CVE-2009-3416 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3416

Référence CVE CVE-2009-3867 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3867

Référence CVE CVE-2009-3868 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3868

Référence CVE CVE-2009-3869 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3869

Référence CVE CVE-2009-3871 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3871

Référence CVE CVE-2009-3872 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3872

Référence CVE CVE-2009-3873 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3873

Référence CVE CVE-2009-3874 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3874

Référence CVE CVE-2009-3875 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3875

Référence CVE CVE-2009-3876 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3876

Référence CVE CVE-2009-3877 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3877

Référence CVE CVE-2010-0066 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0066

Référence CVE CVE-2010-0067 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0067

Référence CVE CVE-2010-0068 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0068

Référence CVE CVE-2010-0069 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0069

Référence CVE CVE-2010-0070 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0070

Référence CVE CVE-2010-0071 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0071

Référence CVE CVE-2010-0072 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0072

Référence CVE CVE-2010-0074 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0074

Référence CVE CVE-2010-0075 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0075

Référence CVE CVE-2010-0076 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0076

Référence CVE CVE-2010-0077 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0077

Référence CVE CVE-2010-0078 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0078

Référence CVE CVE-2010-0079 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0079

Référence CVE CVE-2010-0080 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0080

Gestion détaillée du document

13 janvier 2010: version initiale.

CERTA
2012-01-04