Oracle phát hành bản vá tháng 1 năm 2025 để giải quyết 318 lỗ hổng trên các sản phẩm chính
Oracle đang kêu gọi khách hàng áp dụng Bản cập nhật bản vá quan trọng (CPU) tháng 1 năm 2025 để giải quyết 318 lỗ hổng bảo mật mới trên nhiều sản phẩm và dịch vụ của mình.
Lỗi nghiêm trọng nhất là lỗi trong Oracle Agile Product Lifecycle Management (PLM) Framework (CVE-2025-21556, điểm CVSS: 9,9) có thể cho phép kẻ tấn công chiếm quyền kiểm soát các trường hợp dễ bị tấn công.
Theo mô tả về lỗ hổng bảo mật trong Cơ sở dữ liệu lỗ hổng quốc gia NIST (NVD), "Lỗ hổng dễ khai thác cho phép những kẻ tấn công có đặc quyền thấp với quyền truy cập mạng thông qua HTTP xâm phạm Oracle Agile PLM Framework".
Điều đáng chú ý là Oracle đã cảnh báo về các nỗ lực khai thác đang diễn ra đối với một lỗ hổng khác trong cùng một sản phẩm (CVE-2024-21287, điểm CVSS: 7,5) vào tháng 11 năm 2024. Cả hai lỗ hổng đều ảnh hưởng đến Oracle Agile PLM Framework phiên bản 9.3.6.
Eric Maurice, phó chủ tịch Đảm bảo an ninh tại Oracle, cho biết : "Khách hàng được khuyến cáo mạnh mẽ áp dụng Bản cập nhật vá lỗi quan trọng tháng 1 năm 2025 cho Oracle Agile PLM Framework vì bản cập nhật này bao gồm các bản vá cho \[CVE-2024-21287\] cũng như các bản vá bổ sung" .
Một số lỗi nghiêm trọng khác, tất cả đều được đánh giá 9,8 trên thang điểm CVSS, được Oracle giải quyết như sau -
- CVE-2025-21524 - Lỗ hổng trong thành phần SEC Giám sát và Chẩn đoán của JD Edwards EnterpriseOne Tools
- CVE-2023-3961 - Lỗ hổng bảo mật trong thành phần E1 Dev Platform Tech (Samba) của JD Edwards EnterpriseOne Tools
- CVE-2024-23807 - Lỗ hổng trong thành phần phân tích cú pháp XML Apache Xerces C++ của Oracle Agile Engineering Data Management
- CVE-2023-46604 - Lỗ hổng trong thành phần Apache ActiveMQ của Bộ định tuyến tín hiệu đường kính truyền thông Oracle
- CVE-2024-45492 - Lỗ hổng trong thành phần trình phân tích cú pháp XML (libexpat) của Oracle Communications Network Analytics Data Director, Financial Services Behavior Detection Platform, Financial Services Trade-Based Anti Money Laundering Enterprise Edition và HTTP Server
- CVE-2024-56337 - Lỗ hổng trong thành phần máy chủ Apache Tomcat của Oracle Communications Policy Management
- CVE-2025-21535 - Lỗ hổng trong thành phần Core của Oracle WebLogic Server
- CVE-2016-1000027 - Một lỗ hổng trong thành phần Spring Framework của Oracle BI Publisher
- CVE-2023-29824 - Lỗ hổng bảo mật trong thành phần Analytics Server (SciPy) của Oracle Business Intelligence Enterprise Edition
CVE-2025-21535 cũng tương tự như CVE-2020-2883 (điểm CVSS: 9,8), một lỗ hổng bảo mật nghiêm trọng khác trong Oracle WebLogic Server có thể bị kẻ tấn công chưa xác thực khai thác bằng cách truy cập mạng thông qua IIOP hoặc T3.
Đầu tháng này, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm CVE-2020-2883 vào danh mục Lỗ hổng đã biết bị khai thác (KEV), trích dẫn bằng chứng về hoạt động khai thác đang diễn ra.
Oracle cũng giải quyết CVE-2024-37371 (điểm CVSS: 9.1), một lỗ hổng Kerberos 5 nghiêm trọng ảnh hưởng đến Quản lý doanh thu và thanh toán truyền thông, có thể cho phép kẻ tấn công "gây ra các lần đọc bộ nhớ không hợp lệ bằng cách gửi mã thông báo tin nhắn có trường độ dài không hợp lệ".
Người dùng được khuyên nên áp dụng các bản vá cần thiết để giữ cho hệ thống của họ được cập nhật và tránh các rủi ro bảo mật tiềm ẩn.