'Oracle laat lekken twee jaar ongemoeid'

Onderzoeker geeft details vrij

21 juli 2005 | Remco Mourits De Duitse onderzoeker Alexander Kornbrust, die werkzaam is voor Red Database Security, attendeerde Oracle twee jaar geleden op een aantal lekken in hun software. Nu het bedrijf nog steeds geen patches heeft vrijgegeven, heeft hij de details maar wereldkundig gemaakt.

Kornbrust zocht ongeveer 700 dagen geleden voor het eerst contact met Oracle. Omdat het bedrijf niet reageerde, stelde hij 15 april jongstleden een deadline: Oracle moest de lekken patchen bij de eerstvolgende grote update. Die update is nu verschenen - zonder de gewraakte patches.

Kornbrust: "Het kan behoorlijk wat tijd kosten om een goede patch te maken. Daarom heb ik Oracle aangeboden ze nog eens drie maanden uitstel te geven. Oracle heeft hier nooit op gereageerd. Dit gedrag is onacceptabel. Het bedrijf brengt zijn klanten in gevaar."

Uit de vrijgegeven details blijkt dat vijf van de lekken in Oracle Reports zitten. Het zesde lek zit in Oracle Forms, dat onderdeel uitmaakt van de Oracle Developer Suite. Tenminste een van de lekken kan door hackers via het internet worden misbruikt, aldus Kornbrust.

Oracle wil niet ingaan op de claims van Kornbrust, en zei alleen "teleurgesteld te zijn wanneer informatie over beveiligingsproblemen naar buiten wordt gebracht voordat Oracle een patch heeft kunnen uitgeven." Lees meer artikels over : oracle, lek, patch

bron: ZDNet