米Oracleは米国時間4月12日，複数の同社製品に見つかったセキュリティ・ホールをふさぐパッチを公開した（PDFファイル）。パッチの適用対象はデータベース・サーバーやアプリケーション・サーバー，これらを含むスイート製品などと多岐にわたる。任意のプログラムを実行されるようなセキュリティ・ホールが含まれるので，同社製品の管理者はできるだけ早急に対応したい。
同社は，セキュリティ・パッチを四半期ごとにまとめて提供することを表明している（関連記事）。今回のパッチ公開は，当初の予定通りである（関連記事）。なお，前回のパッチ公開は1月18日，次回の公開予定日は7月12日である。
パッチの適用対象製品は以下の通り。
- Oracle Database 10g Release 1, v 10.1.0.2／10.1.0.3／10.1.0.3.1／10.1.0.4
- Oracle9i Database Server Release 2, v 9.2.0.5／9.2.0.6
- Oracle9i Database Server Release 1, v 9.0.1.4／9.0.1.5／9.0.4 (9.0.1.5 FIPS)
- Oracle8i Database Server Release 3, v 8.1.7.4
- Oracle Application Server 10g Release 2 (10.1.2)
- Oracle Application Server 10g (9.0.4), v 9.0.4.0／9.0.4.1
- Oracle9i Application Server Release 2, v 9.0.2.3／9.0.3.1
- Oracle9i Application Server Release 1, v 1.0.2.2
- Oracle Collaboration Suite Release 2, versions 9.0.4.1, 9.0.4.2
- Oracle E-Business Suite and Applications Release 11i, v 11.5.0～11.5.10
- Oracle E-Business Suite and Applications Release 11.0
- Oracle Enterprise Manager Grid Control 10g, v 10.1.0.2／10.1.0.3
- Oracle Enterprise Manager v 9.0.4.0／9.0.4.1
- PeopleSoft EnterpriseOne Applications, v 8.9 SP2／8.93
- PeopleSoft OneWorldXe/ERP8 Applications, v SP22以上（SP22を含む）
なお，サポート切れの製品については，セキュリティ・ホールが見つかっていてもパッチは提供されないので注意が必要。詳細については，同社が提供する情報を参照してほしい。
前回のパッチ公開時と同じように，セキュリティ・ホールの詳細については明らかにされていない。だが，今回のパッチで解消されるセキュリティ・ホールのいくつかを発見した英NGSSoftwareによると，ハイ・リスクのセキュリティ・ホールが複数含まれるという。仏FrSIRTでは，任意のプログラムを実行されるようなセキュリティ・ホールや，DoS（サービス妨害）攻撃やSQLインジェクション攻撃を許すようなセキュリティ・ホールが含まれると予想する。
危険なセキュリティ・ホールが含まれることはほぼ間違いない。対象製品を稼働させているサーバーの管理者は，できるだけ早くパッチを適用したい。パッチは「MetaLink」サイトから入手できる。
NGSSoftwareでは，同社が発見したセキュリティ・ホールの詳細を，3カ月後の7月12日に公表するとしている。この方針も，前回のパッチが公開されたときと同じである。前回のパッチが公開されたのは1月18日なので，4月18日には前回のセキュリティ・ホールの詳細がNGSSoftwareから公開される予定である。Oracle製品の管理者は，今回のパッチだけではなく，前回のパッチについても確認しておきたい。
◎参考資料
◆Critical Patch Update - April 2005（米Oracle，PDFファイル）
◆[VulnWatch] Multiple High Risk flaws fixed in Oracle（英NGSSoftware）
◆Oracle Products Multiple Security Vulnerabilities (April 2005)（仏FrSIRT）
（勝村 幸博＝IT Pro）
