Es ist wieder einmal so weit, der Critial Patch Upgrade Oktober 2024 ist verfügbar. Der RU ist für folgende Versionen verfügbar:

• Oracle 19c … Version 19.25
• Oracle 21c … Version 21.16
• Oracle 23ai … Version 23.6.0.24.10 für on Premise aktuell immer noch nicht verfügbar

Im RU für Datenbanken (inkl. APEX, Essbase, GoldenGate,…) sind 25 Security Patches enthalten. Für die Oracle Datenbank sind es 6 Patches.

Wie man an den Base Scores sieht, sind diese relativ niedrig. Die ersten drei sind nicht direkt in der Oracle Software, sondern in von Oracle genutzten “externen” Libraries, die von der Datenbank genutzt werden. Um die restlichen drei Lücken ausnutzen zu können, benötigt man zumindest einen Benutzer in der Datenbank.

• The patch for CVE-2024-6119 also addresses CVE-2024-5535

Weitere patches, die im RU enthalten sind (und nicht direkt die Datenbank betreffen):

• Authonomous Health Framework (Python): CVE-2024-7592 and CVE-2024-6232 [VEX Justification: vulnerable_code_not_in_execute_path].
• Multilingual Engine (GraalVM): CVE-2024-27983, CVE-2024-21131, CVE-2024-21138, CVE-2024-21140, CVE-2024-21144, CVE-2024-21145 and CVE-2024-21147 [VEX Justification: vulnerable_code_not_in_execute_path].
• Oracle Database Core (Intel C++ Compiler Classic): CVE-2022-41342, CVE-2022-38136 and CVE-2022-40196 [VEX Justification: inline_mitigations_already_exist].
• Oracle Database Core (Intel Integrated Performance Primitives): CVE-2024-28887 [VEX Justification: vulnerable_code_not_in_execute_path].
• Oracle Database Core (libexpat): CVE-2024-45492, CVE-2024-45490 and CVE-2024-45491 [VEX Justification: vulnerable_code_not_in_execute_path].
• Oracle Database Core (Nhttp2): CVE-2024-28182 [VEX Justification: vulnerable_code_not_in_execute_path].
• Oracle Database Grid (Apache Tomcat): CVE-2024-34750 [VEX Justification: vulnerable_code_cannot_be_controlled_by_adversary].
• Oracle Database Security (Kerberos): CVE-2024-37371 and CVE-2024-37370 [VEX Justification: vulnerable_code_not_in_execute_path].
• Oracle Spatial and Graph (RequireJS): CVE-2024-38999 and CVE-2024-38998 [VEX Justification: vulnerable_code_cannot_be_controlled_by_adversary].
• Oracle SQLcl (Eclipse Parsson): CVE-2023-4043 [VEX Justification: vulnerable_code_cannot_be_controlled_by_adversary].

Weiterführende Informationen

• Oracle Security Alert Oct 2024.
• Critical Patch Update (CPU) Program Oct 2024 Patch Availability Document (DB-only) (Doc ID 3036945.1)