Oracle propose des mises à jour corrigeant au total 193 vulnérabilités dans Oracle Database, Fusion Middleware, Hyperion, Enterprise Manager, E-Business Suite, Supply Chain Suite, PeopleSoft Enterprise, Siebel CRM, Communications Applications, Java SE, Sun Systems Produits Suite, Oracle Linux et MySQL.
Les utilisateurs de produits Oracle font bien de mettre à jour leurs systèmes vu que des mises à jour corrigeant 193 failles dans Oracle Database, Fusion Middleware, Hyperion, Enterprise Manager, E-Business Suite, Supply Chain Suite, PeopleSoft Enterprise, Siebel CRM, Communications Applications, Java SE, Sun Systems Produits Suite, Oracle Linux et MySQL viennent d’être publiées. C’est d’autant plus important que certaines vulnérabilités sont de type 0-day.
Java est notamment concerné par la publication des mises à jour Java 8 Update 51, Java 7 Update 85 et Java 6 Update 101. Seule la mise à jour de Java 8 est disponible pour le grand public, les autres étant réservées pour les entreprises ayant payé pour un support étendu des anciennes versions.
Par le biais de ces mises à jour, ce sont 25 vulnérabilités corrigées, notamment 23 qui peuvent être exploitées à distance sans authentification !
16 failles affectent seulement le déploiement du client alors que 5 autres touchent les déploiements client et serveur. 1 correctif est spécifique à la plate-forme Mac et 4 à Java Secure Socket Extension (JSSE).
Il est à noter que la faille référencée CVE-2015-2590 est de type 0-day, c’est-à-dire exploiter sans qu’aucun correctif ne soit disponible. Des chercheurs de Trend Micro ont d’ailleurs récemment annoncé que des attaques utilisant cette faille visaient les forces armées d’un pays membre de l’OTAN et une agence liée au ministère américain de la Défense.
À l’heure actuelle, Java est encore largement utilisé en entreprises. Par contre, il est devenu plus rare sur les sites web destinés au grand public. De fait, de nombreux utilisateurs peuvent envisager de désactiver le plug-in Java pour plus de sécurité.
Malheureusement, la désinstallation complète de la machine virtuelle Java est plus compliquée, car des applications populaires exploitent toujours cette technologie.