Oracle ha liberado una solución temporal de emergencia que corrige una falla de día cero en “WebLogic Server” y “WebLogic Express”, específicamente con el conector de Apache, el cual es remotamente explotable sin autenticación. Por esta razón, Oracle decidió romper su ciclo trimestral de liberación de actualizaciones.
El parche soluciona una falla de desbordamiento del espacio de la memoria en el “Oracle WebLogic Server”, la cual crea un medio para que los hackers siembren el código malicioso en el sistema. Asimismo, enviando un requerimiento, deformado, HTTP POST, los atacantes pueden vulnerar el sistema sin necesidad de tener ningún nombre de usuario y contraseña.
Además, múltiples versiones de “Oracle WebLogic” son afectadas. También, la falla estimo 10.0 fuera de 10 – doblemente crítico – según el “Common Vulnerability Scoring System” (CVSS), un esquema diseñado para estandarizar la clasificación de vulnerabilidades.
Por último, se recomienda evaluar la solución y aplicarla porque la vulnerabilidad es considerada crítica.
Mayor información:
http://www.oracle.com/technology/deploy/security/alerts/alert_cve2008-3257.html
http://blogs.zdnet.com/security/?p=1581
Departamento Especializado en Seguridad - Internet
TELMEX PERÚ S.A.