Oracle ha lanzado otra actualización trimestral de seguridad que contiene 136 correcciones para fallas en una amplia gama de productos, incluyendo Oracle Database Server, E-Business Suite, Fusion Middleware, Oracle Sun Products, Java y MySQL. La mayor novedad es la adopción por parte de Oracle del Sistema Común de Puntuación de Vulnerabilidades (CVSS) versión 3.0, que refleja de manera más precisa el impacto de las fallas que CVSS 2.0.
Esta actualización crítica de parches de Oracle (CPU) tiene tanto puntuaciones CVSS 3.0 como CVSS 2.0 para las vulnerabilidades, lo que brinda la oportunidad de comparar cómo el nuevo sistema de calificación podría afectar la priorización de los parches de Oracle dentro de las organizaciones.
Un cambio inmediatamente notable es que hay cinco vulnerabilidades calificadas con la puntuación máxima de 10.0 según la escala CVSS 2.0, pero ninguna cuando se utiliza la calificación CVSS 3.0. A primera vista, esto sugeriría que, según CVSS 3.0, las fallas se califican como menos críticas, pero eso no es cierto. Si bien no hay fallas con una puntuación de 10.0, el número de fallas en esta CPU que se consideran críticas según su puntuación CVSS 3.0 es de 17, en comparación con 9 según CVSS 2.0. Del mismo modo, 25 fallas se califican como de alta gravedad utilizando CVSS 3.0, en comparación con solo 12 utilizando CVSS 2.0. El número de fallas de baja gravedad también disminuyó de 28, según CVSS 2.0, a solo 10 según CVSS 3.0. Esto muestra que en general, CVSS 3.0 aumenta la calificación de gravedad de las vulnerabilidades en comparación con CVSS 2.0.
“En primer lugar, me complace ver tales cambios en el sistema de calificación, ya que hubo muchas discusiones sobre la calidad de CVSS v.2.0”, dijo Alexander Polyakov, CTO de la firma de inteligencia de vulnerabilidades ERPScan, por correo electrónico. “Por ejemplo, los proveedores podrían calificar los problemas descubiertos en sus productos como menos críticos (intencional o no intencionalmente) debido a algunas fallas en este sistema de calificación. Ahora el sistema actualizado es más preciso y se resolvieron muchas deficiencias que afectaban a la versión anterior”.
Los productos de Oracle que tienen vulnerabilidades calificadas como altas (puntuación CVSS 3 de 7.0 a 8.9) y críticas (puntuación de 9.0 a 10.0) son: Oracle Database Server, Oracle Fusion Middleware, Oracle Enterprise Manager Grid Control, Oracle E-Business Suite, Oracle Supply Chain Products Suite, Oracle PeopleSoft Products, Oracle Financial Services Software, Oracle Java SE, Oracle Sun Systems Products, Oracle Virtualization, Oracle MySQL y Oracle Berkeley DB.
