Oracle heeft beveiligingsupdates uitgebracht voor Oracle Communications. Daarmee worden zwakke plekken gedicht die voortkomen uit twee veelgebruikte bouwstenen: SQLite en Apache Log4j. De issues waren eerder al door de makers van deze projecten opgelost; Oracle heeft de fixes nu geïntegreerd in de eigen software. Voor beheerders betekent dit vooral: snel patchen en even controleren of onderliggende componenten op het juiste versieniveau staan. (oracle.com)

SQLite: informatielek via zipfile-extensie

• Wat er misging: in de zipfile-extensie van SQLite kon een aanvaller met een speciaal geconstrueerd ZIP-bestand onbedoeld stukjes heap-geheugen laten uitlekken. De oorzaak zat in de functie zipfileInflate, die te veel bytes kon teruggeven bij malformede archieven. Dit is vastgelegd als CVE-2025-70873. (nvd.nist.gov)
• Upstream fix: de SQLite-ontwikkelaars hebben dit in december 2025 opgelost; de bijbehorende wijziging zorgt ervoor dat alleen het werkelijk gedecomprimeerde aantal bytes wordt teruggegeven. Organisaties die de zipfile-extensie gebruiken (bijvoorbeeld voor het uitlezen of bouwen van ZIP-archieven in databewerkingen) moeten zorgen dat ze een versie draaien waarin deze commit is verwerkt. (sqlite.org)
• Impact in de praktijk: het gaat om een informatielek (geen remote code execution). Toch kan geheugenlekkage voldoende zijn om beveiligingsmaatregelen te omzeilen of gevoelige gegevens prijs te geven, zeker als ZIP-bestanden uit onbetrouwbare bronnen worden verwerkt. (nvd.nist.gov)

Log4j: ongeldige JSON-output kan logpijplijnen verstoren

• Wat er misging: in JsonTemplateLayout van Apache Log4j werden niet-eindige drijvende-kommawaarden (NaN, Infinity, -Infinity) onjuist geserialiseerd. Hierdoor ontstond ongeldige JSON, wat downstream logverwerkers kan laten struikelen of records kan laten vallen. De kwetsbaarheid is bekend als CVE-2026-34481. (logging.apache.org)
• Aanvalsvoorwaarde: misbruik is alleen mogelijk als een applicatie JsonTemplateLayout gebruikt én een MapMessage logt met door de aanvaller beïnvloedbare floating-point waarden. (logging.apache.org)
• Upstream fix: Log4j heeft dit verholpen in versie 2.25.4 van log4j-layout-template-json. Upgraden naar minimaal 2.25.4 is de aanbevolen remedie. (logging.apache.org)

Wat betekent dit voor Oracle Communications?

• Oracle verwerkt fixes voor third‑party componenten in de reguliere Critical Patch Updates (CPU). In de CPU van april 2026 zijn onder meer Log4j-gerelateerde fixes opgenomen voor meerdere Oracle Communications‑onderdelen (zoals BRM/Elastic Charging Engine, Convergence, OMC en Unified Inventory Management). Installeer de nieuwste CPU’s voor uw specifieke producten en versies. (oracle.com)

Aanpak: snel en praktisch

• Installeer de nieuwste Oracle Communications‑updates die bij uw product en versie horen (hanteer de recente CPU’s en eventuele Security Alerts). (oracle.com)
• Controleer embedded componenten:
  • SQLite: gebruik een build waarin de december 2025‑fix voor de zipfile‑extensie zit. Als de zipfile‑extensie niet nodig is, schakel die uit of verwerk uitsluitend vertrouwde ZIP‑bestanden. (sqlite.org)
  • Log4j: update naar ten minste 2.25.4 voor JsonTemplateLayout. Test na de update of logpijplijnen (SIEM, parsers, indexers) weer correct JSON aannemen en verwerken. (logging.apache.org)
• Harden uw logging:
  • Vermijd MapMessages met onbeheerde, door gebruikers aangeleverde numerieke waarden of valideer/saneer deze waarden vooraf. (logging.apache.org)
  • Voeg in CI/CD een controle toe op ongeldige JSON in testlogs, zodat regressies snel in beeld komen. (Best practice afgeleid uit de impactomschrijving van Log4j.) (logging.apache.org)

Kort samengevat

• SQLite-lek: informatielek via crafted ZIP-bestanden in de zipfile‑extensie; upstream gefixt in december 2025. (nvd.nist.gov)
• Log4j-lek: onjuiste serialisatie van NaN/Infinity in JsonTemplateLayout kan loganalyse ontregelen; opgelost in 2.25.4. (logging.apache.org)
• Oracle heeft de benodigde patches in Oracle Communications verwerkt; pak de laatste CPU’s op en verifieer de versie van de onderliggende componenten. (oracle.com)

Zo blijft de kerninfrastructuur stabiel, uw detectie betrouwbaar en de totale risico-exposure laag.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.